如何在Debian启用VNC加密

在 Debian 上启用 VNC 加密（含 TLS/SSL） 的方式，取决于你使用的是哪一款 VNC Server。下面按 最常用方案 给你一个完整、安全、可实操的指南。

一、先说结论（推荐方案）

✅ 推荐使用：

TigerVNC + TLS（内置加密）
或 x11vnc + TLS
不要裸跑 VNC（默认无加密）

❌ 不推荐：

RealVNC Free 版（无 TLS）
用 SSH 隧道但以为“很安全”（不方便）

二、方案 1：TigerVNC（推荐，原生支持 TLS）

1️⃣ 安装 TigerVNC

sudo apt update
sudo apt install tigervnc-standalone-server tigervnc-common

2️⃣ 设置 VNC 密码（必须有）

vncpasswd

密码最多 8 位，用于 认证阶段

3️⃣ 启用 TLS 加密（关键步骤）

TigerVNC 支持三种安全类型：

模式	说明
None	无加密 ❌
VncAuth	仅密码，无加密 ❌
TLSVnc	TLS 加密 + 密码 ✅ 推荐

生成 TLS 证书

sudo mkdir -p /etc/vnc-tls
sudo openssl req -x509 -nodes -days 3650 \
  -newkey rsa:2048 \
  -keyout /etc/vnc-tls/vnc.key \
  -out /etc/vnc-tls/vnc.crt

填写信息可随意，主要是生成：

vnc.key
vnc.crt

4️⃣ 启动 VNC 并启用 TLS

vncserver :1 \
  -SecurityTypes TLSVnc \
  -X509Key /etc/vnc-tls/vnc.key \
  -X509Cert /etc/vnc-tls/vnc.crt

✅ 此时 VNC 流量 完全加密

查看端口：

5901（:1）

5️⃣ 客户端连接（必须支持 TLS）

✅ 推荐客户端：

TigerVNC Viewer
Remmina（插件支持 TLS）

连接时选择：

Security type: TLS

三、方案 2：x11vnc（老系统 / 已有桌面常用）

1️⃣ 安装 x11vnc

sudo apt install x11vnc

2️⃣ 生成密码

x11vnc -storepasswd

3️⃣ 创建 TLS 证书

openssl req -x509 -nodes -days 3650 \
  -newkey rsa:2048 \
  -keyout ~/.x11vnc.key \
  -out ~/.x11vnc.crt

4️⃣ 启动加密 VNC

x11vnc \
  -display :0 \
  -rfbauth ~/.x11vnc/passwd \
  -ssl ~/.x11vnc.pem \
  -forever \
  -shared

-ssl 启用加密（TLS）

四、方案 3：SSH 隧道（兼容但非真 VNC 加密）

如果你 无法用 TLS：

ssh -L 5901:localhost:5901 user@debian_ip

然后连接：

localhost:1

⚠️ VNC 本身仍无加密，依赖 SSH

五、防火墙 & 安全建议（非常重要）

✅ 只监听本地更安全：

vncserver :1 -localhost

✅ 防火墙只放行必要端口：

sudo ufw allow from 信任IP to any port 5901

✅ 不要直接暴露 5900–5910 到公网

六、检查 VNC 是否真的加密

用客户端连接时查看：

Security type = TLS
非 None / VncAuth

或用：

ss -lntp | grep 590

七、常见错误

❌ “No matching security types”

客户端不支持 TLS
解决：换 TigerVNC Viewer

❌ VNC 能连但无 TLS

忘记加 -SecurityTypes TLSVnc

八、总结一句话

Debian 启用 VNC 加密 = TigerVNC + TLS 证书（最安全、最标准）

如果你愿意，可以告诉我：

Debian 版本（11/12）
是服务器还是桌面
是否远程公网

我可以给你 一份完整 systemd + TLS 自动启动配置。