Защитите VNC: NoMachine + WiKID 2FA

Кому и когда это нужно

Системным администраторам, которые хотят защитить VNC-доступ без разворачивания полного RDP-инфраструктурного решения.
Организациям, которым важна скорость удалённых сеансов и централизованная двухфакторная аутентификация.

Важно: VNC сам по себе не обеспечивает современного шифрования или многофакторной аутентификации — требуется дополнительный уровень (SSH/NoMachine) и 2FA (WiKID).

Что вы получите этим способом

Шифрованный туннель для VNC с аппаратно-оптимизированным сжатием (NoMachine).
Двойную проверку подлинности: одноразовый код (OTP) + PIN пользователя (WiKID).
Централизованное управление токенами и доменами пользователей в WiKID.

Основные компоненты и краткие определения

NoMachine NX: сервер/клиент удалённого доступа, использует SSH для туннелирования и собственные алгоритмы сжатия. Подходит для Remote X и RDP-подобных сессий.
WiKID: система двухфакторной аутентификации, использующая модель с открытыми ключами и проверкой PIN/OTP; предоставляет RADIUS-интерфейс.
pam_radius: PAM-модуль для интеграции RADIUS-аутентификации в Linux-демоны (sshd).
RealVNC (или другой VNC): сервис удалённого рабочего стола, используемый внутри туннеля NoMachine/SSH.

Высокоуровневый поток аутентификации

Пользователь запускает NX-клиент и вводит логин + WiKID одноразовый код (OTP) + PIN (как требуется).
SSH перенаправляет имя пользователя и OTP к WiKID через PAM/RADIUS.
WiKID подтверждает соответствие и возвращает разрешение для SSH.
NX-клиент устанавливает защищённый канал и передаёт VNC-пароль целевому VNC-серверу через этот туннель.

План подготовки (минимальная архитектура)

Разместите WiKID и SSH/NoMachine-сервер в DMZ. У сервера должно быть два интерфейса: один для входящих клиентских подключений из интернета (NX/SSH), второй — для внутренней сети для связи с VNC и с WiKID.
VNC-сервер может быть в LAN, доступ к нему идёт только из NoMachine/SSH-сервера.

Настройка сервера WiKID (пошагово)

Авторизуйтесь в веб-интерфейсе WiKID (пример: http://yourwikidserver/WiKIDAdim).
Создайте домен для удалённых пользователей:
- Перейдите на вкладку Domains.
- Нажмите Create a New Domain.
- Заполните форму: оставьте поле “Registered URL:” пустым (оно для SSL-взаимной аутентификации).
- Не ставьте галочки Use TACACS+ и Password Reset Domain.
- Установите срок жизни одноразового пароля (passcode lifetime). По умолчанию 60 секунд — при необходимости увеличьте.
- Выберите длину PIN по умолчанию (обычно 6 цифр, можно 4).
- Device Domain Name — видимое имя домена в клиенте токена.
- Нажмите Create.
Добавьте RADIUS-клиента для SSH/NoMachine:
- Вкладка Network Clients → Create New Network Client.
- Введите IP-адрес SSH/NoMachine-сервера.
- В поле Protocol выберите Radius.
- На следующем экране укажите shared secret (секретную фразу) и нажмите Add.
- Поле Return Attribute оставьте пустым.
Перезапустите встроенный RADIUS в WiKID:
- Через консоль WiKID выполните команды stop, затем start (в интерфейсе или по SSH) чтобы загрузить нового сетевого клиента.

Примечание: пользователей можно добавлять вручную администратором или автоматически через скрипты в защищённой части сети (LAN).

Настройка NoMachine и SSH (PAM + RADIUS)

Пример основан на NX Server Free Edition (ограничение — 2 одновременных сессии). Для корпоративного использования рассматривайте Enterprise-редакции.

Установка NoMachine (пример для RPM-систем):

rpm -ivh nx*

Установка PAM RADIUS-модуля

Установите pam_radius (проверьте репозитарии вашей дистрибуции или соберите из исходников). Подробности — на домашней странице pam_radius.

Подключение pam_radius к sshd

Отредактируйте файл /etc/pam.d/sshd:

vi /etc/pam.d/sshd

Вставьте на вторую строку (под первой) следующую строку:

auth     required   /lib/security/pam_radius_auth.so

Она должна стоять непосредственно выше строки:

auth     required     pam_stack.so service=system-auth

Тег “required” указывает, что модуль обязателен: если проверка RADIUS не пройдёт, вход будет запрещён.
Сохраните и выйдите (:wq).

Конфигурация RADIUS-клиента на стороне SSH/NoMachine

Отредактируйте или создайте файл /etc/raddb/server (или тот путь, который использует ваша сборка pam_radius):

vi /etc/raddb/server

Пример строки, уже присутствующей для локального сервера:

127.0.0.1   secret        1

Добавьте строку с IP-адресом вашего WiKID-сервера и shared secret (тот же, который вы задали в WiKID):

routableIPaddress   shared_secret     1

(замените routableIPaddress и shared_secret на реальные значения)

Перезапустите необходимые сервисы

Перезапустите sshd и NoMachine сервисы, чтобы применить изменения:

systemctl restart sshd
service nxserver restart

(команды могут отличаться в зависимости от дистрибутива и версии NoMachine)

Проверка и тесты (критерии приёмки)

Пользователь может успешно пройти SSH-аутентификацию, введя имя, PIN и корректный одноразовый код.
Если WiKID возвращает отказ — SSH блокирует вход.
После успешной аутентификации NoMachine устанавливает туннель и VNC-пароль пересылается в целевой VNC-сервер.
Тесты на отказ: внесите неверный OTP и убедитесь, что доступ закрыт; проверьте логирование на WiKID и sshd.

Критерии приёмки:

Успешный вход от авторизованного пользователя из внешней сети через NX-клиент.
Отказ при неправильном OTP или при отсутствии ответа от WiKID.
Логи обоих сторон (WiKID и SSH/NoMachine) содержат записи о попытках аутентификации.

Роль‑базовый чек-лист (кто за что отвечает)

Системный администратор (NoMachine/SSH): установка NoMachine, настройка sshd, установка pam_radius, настройка /etc/raddb/server, firewall.
Администратор WiKID: создание доменов, создание/удаление токенов, добавление RADIUS-клиентов, мониторинг логов.
Служба безопасности: аудит сетевой сегментации DMZ, проверка правил NAT/ACL, обеспечение резервного доступа.

Безопасность и hardening — рекомендации

Разделяйте сетевые зоны: клиентские подключения в DMZ, VNC в LAN.
Разрешайте доступ к SSH/NoMachine только с известных адресов (whitelisting) при возможности.
Используйте fail2ban или аналог для блокировки многократных неудачных попыток.
Контролируйте время жизни OTP (сбалансируйте удобство и безопасность).
Логи: централизуйте логи sshd, NoMachine и WiKID для корреляции событий.
Минимизируйте привилегии аккаунтов и применяйте принцип наименьших привилегий.

Важно: не выключайте проверку RADIUS в system-auth или других критичных файлах PAM без полного понимания последствий — это может открыть систему для обхода 2FA.

Альтернативные подходы и когда они уместны

Использовать LDAP/AD + RADIUS/2FA интеграцию: если у вас уже есть LDAP/AD, интеграция WiKID (или другого провайдера 2FA) с LDAP может упростить управление пользователями.
Использовать аппаратные токены (YubiKey) или TOTP (Google Authenticator): если вы хотите использовать стандартизованные токены — учитывайте модель угроз и удобство управления.
VPN + VNC: вместо NoMachine можно держать VNC внутри корпоративного VPN, но это добавляет задержку и требует управления VPN.

Когда подходит данный метод: когда важна высокая скорость удалённых сессий и централизованная 2FA без полной миграции на RDP/VDI.

Когда не подходит: если вы не можете разместить WiKID/SSH-серверы в DMZ или у вас строгие требования к сертификации и управлению ключами.

Мини‑методология развертывания (6 шагов)

Разверните и проверьте WiKID в тестовом окружении.
Создайте домен и тестовый аккаунт, настройте OTP-токен.
Добавьте SSH/NoMachine как RADIUS-клиента в WiKID.
Установите pam_radius на SSH/NoMachine и настройте /etc/raddb/server.
Перезапустите сервисы и выполните тестовые подключения.
Перенесите конфигурацию в production, документируйте и добавьте мониторинг.

Потенциальные ошибки и способы их диагностики

“RADIUS timeout” — проверьте сетевую связность между SSH/NoMachine и WiKID, убедитесь в правильности shared secret.
“pam_radius_auth.so not found” — установите пакет pam_radius или укажите корректный путь модуля.
Несовпадение времени OTP — синхронизируйте время сервера и токенов (NTP).

Факто‑бокс: ключевые параметры

Дефолтный срок жизни passcode в WiKID: 60 секунд (можно увеличить).
Длина PIN по умолчанию: 6 цифр (можно установить 4).
NX Server Free Edition: ограничение 2 одновременных пользователей (для бизнеса — Enterprise).

Диаграмма потока аутентификации

flowchart TD
  U[Пользователь: NX-клиент] -->|логин + PIN+OTP| S'SSH/NoMachine'
  S -->|PAM/RADIUS| W[WiKID RADIUS]
  W -- success --> S
  W -- fail --> S
  S -->|туннель| V[VNC-сервер в LAN]
  note right of W: WiKID валидирует OTP и PIN

Тест-кейсы/приёмочные проверки

TC1: Корректный логин + корректный OTP → доступ предоставлен.
TC2: Корректный логин + просроченный OTP → доступ запрещён.
TC3: Корректный логин + неверный PIN → доступ запрещён.
TC4: Отсутствие связи с WiKID → доступ запрещён; проверяем логи и таймауты.

Итог и краткое резюме

Комбинация NoMachine и WiKID даёт эффективное и относительно простое в управлении решение для защищённого VNC-доступа: NoMachine обеспечивает производительный зашифрованный туннель и сжатие, а WiKID предоставляет надёжную двухфакторную аутентификацию через RADIUS. Следуйте чек-листам, протестируйте сценарии отказа и внедрите мониторинг для оперативного реагирования.

Важно: перед миграцией в production выполните тестирование на тестовом стенде и подготовьте план отката.