設定對 Pardus Xfce 桌面的安全 RDP 訪問

如果您需要從另一個房間或另一個網路使用 Pardus 計算機，正確的設定取決於您是希望看到已開啟的桌面，還是希望啟動一個單獨的圖形登入介面。對於 Pardus 25 Xfce 版本，實用的 RDP 方案是xrdp使用 Xorg 後端；僅當您電腦上設定的 Pardus 軟體倉庫提供相應的軟體包時才安裝它，並且確保存取在受信任的區域網路或 VPN 之後。 RDP（遠端桌面協定）允許 RDP 用戶端顯示和控制遠端圖形會話。

本指南以 Pardus 25 為參考。根據 Pardus 25 的發行說明，其預設桌面環境為 Xfce 4.20.2，GNOME 48.4 則作為單獨版本提供。早期版本的 Pardus 可能具有不同的軟體包版本或桌面行為，因此在執行特定軟體包的步驟之前，請先檢查您的版本。

1. 確定您需要的桌面體驗

遠端桌面存取有兩種不同的含義。桌面共用會顯示並控制 Pardus 電腦上已開啟的圖形會話。遠端登入則會為連線使用者建立一個圖形登入工作階段。這兩種模式不可互換：共享模式適用於在控制台前協助他人，而遠端登入模式通常更適合無人值守的工作站存取。

以下步驟透過設定一個獨立的 Xfce 會話xrdp。這樣可以避免假設實體電腦使用者已登入。如果您的 Pardus 安裝使用 GNOME，並且您想要共用或遠端登入 GNOME，請檢查「設定」>「系統」>「遠端桌面」。目前的 GNOME 文件描述了單獨的桌面共用和遠端登入控件，但具體選項取決於已安裝的 GNOME 元件和版本；請勿假定 Xfce 也具備這些選項。

舉個具體的例子，假設一位學生想在同一個家庭網路中，透過 Windows 筆記型電腦開啟他的 Pardus 25 Xfce 工作站。他需要獨立的圖形會話，因此 Xfce + xrdp 方案比較適合。此範例僅供參考，並非經過測試的組態報告。

2. 準備 Pardus 並確認包裹可用性

在安裝任何軟體之前，請先透過 Pardus 的常規軟體倉庫更新 Pardus，並確保您擁有管理員帳戶、有效的網路連接，以及在遠端存取失敗時能夠本地存取電腦的方法。在 Pardus 電腦上，檢查版本和桌面環境：

cat /etc/os-release
echo "$XDG_CURRENT_DESKTOP"

然後檢查此安裝上配置的儲存庫是否同時提供 RDP 伺服器和 Xorg 驅動程式套件：

sudo apt update
apt-cache policy xrdp xorgxrdp

僅當兩個軟體包都顯示有候選倉庫時才進行安裝。 xrdp 專案將 xrdp 描述為 RDP 圖形登入伺服器，並推薦該xorgxrdp模組用於 Xorg 桌面；其預設監聽連接埠為 TCP 3389。軟體包的可用性可能因 Pardus 版本和倉庫配置而異。如果任一軟體包沒有候選倉庫，請勿為了遵循本指南而添加無關的第三方倉庫；請查閱適用於您 Pardus 版本的軟體包原始碼。

sudo apt install xrdp xorgxrdp

3. 選擇 Xfce 作為遠端會話的桌面環境，並啟動服務

會話是指遠端使用者登入後看到的桌面環境。如果目標電腦已經執行了 Pardus Xfce，請指示 X 會話啟動器為您的帳戶啟動 Xfce：

printf '%s\n' xfce4-session > ~/.xsession

此操作會將一條會話命令寫入目前使用者的設定~/.xsession檔。請以將要連線的帳戶身分執行此命令，不要以 root 使用者身分執行。如果您使用其他桌面或已維護自訂設定文件.xsession，請勿直接覆寫現有設定檔；請先儲存副本，然後使用適用於該桌面的正確會話命令。

啟用啟動時 xrdp 服務並立即啟動它：

sudo systemctl enable --now xrdp
systemctl is-active xrdp

第二個命令應該輸出activesystemd 是否報告服務正在運作。如果服務缺失或啟動失敗，請在開啟任何網路連接埠之前檢查其狀態：

sudo systemctl status xrdp --no-pager

4. 連線前限製網路存取

請勿將 TCP 3389 連接埠直接暴露在公共網際網路上。 RDP 是一種互動式登入服務，因此開放的連接埠容易招緻密碼猜測攻擊。在家中或辦公室使用時，請從同一受信任的網路連接，或先連接到您所在組織的 VPN。如果啟用了主機防火牆，請建立一條規則，僅允許來自受信任的 LAN 或 VPN 位址範圍的 TCP 3389 連接埠。防火牆指令會因電腦使用的是 UFW、nftables 或其他防火牆管理器而有所不同；在變更防火牆規則之前，請檢查目前使用的防火牆及其現有規則。

使用以下命令尋找 Pardus 機器的本機位址：

hostname -I

使用客戶端網路可存取的位址，而不是環回位址或無關的 VPN 介面。使用強密碼保護 Pardus 使用者帳戶，並避免共用管理員憑證以進行日常桌面存取。上游 xrdp 文件預設對 RDP 傳輸使用 TLS 加密；但仍需驗證部署中的憑證行為，並保持伺服器和用戶端更新。

5. 從客戶端連線並驗證會話

在 Windows 系統中，執行 `pg rds` 開啟遠端桌面連線mstsc。輸入 Pardus 電腦的可存取 IP 位址，選擇“連接”，然後使用擁有該.xsession檔案的 Pardus 帳戶登入。在另一台 Linux 電腦上，Remmina 可以作為 RDP 用戶端；Pardus 社群的軟體概述指出，Remmina 是一款支援 RDP 和其他幾種遠端存取協定的用戶端。

連線成功後，應該可以進入 Xfce 桌面會話。確認您可以打開一個無害的應用程序，與桌面交互，並正常斷開連接。然後重新連線一次，確保首次登入後存取正常。如果登入成功但視窗空白或立即關閉，請驗證使用者的會話命令是否有效以及 Xfce 是否已安裝。如果用戶端完全無法連線到主機，請在變更 xrdp 的安全設定之前，請檢查位址、VPN/LAN 路徑、服務狀態和防火牆規則。

若要查看目前啟動時的日誌，請使用：