Come installare un server VNC su Debian 12

Server VNC su Debian 12: scelta del metodo giusto

Su Debian 12 la strada più pulita per avere VNC è usare TigerVNC con un utente dedicato e accesso solo tramite tunnel SSH. È la soluzione che riduce errori, evita di esporre la porta VNC in rete e si integra bene con systemd.

Se l’obiettivo è amministrazione remota di un desktop Linux, VNC va bene. Se invece ti serve solo shell remota, SSH basta e avanza. Se devi esporre un desktop via web, meglio valutare un gateway come Apache Guacamole o una soluzione RDP/VPN, non VNC aperto su Internet.

In questa guida uso TigerVNC perché è stabile, ben documentato e disponibile nei repository Debian 12.

Prerequisiti e modello operativo

Assumo Debian 12 aggiornato, accesso root o sudo, e un ambiente desktop già installabile sul server. VNC non fornisce un desktop completo da solo: serve un ambiente grafico o almeno un window manager leggero.

Scelta pratica:

• Server minimal: XFCE o MATE, leggeri e semplici.
• Server con desktop già presente: puoi usare quello esistente, ma verifica che la sessione VNC avvii il display manager corretto.
• Accesso sicuro: porta VNC non esposta al pubblico, solo localhost + SSH tunnel.

Prima di toccare il sistema, conviene aggiornare l’indice pacchetti e verificare connettività verso i repository.

sudo apt update

Se apt update fallisce, il problema è a monte: DNS, rete, proxy o repository non raggiungibili. Non ha senso proseguire con l’installazione finché non è risolto.

Installazione dei pacchetti necessari

Installa TigerVNC e un ambiente desktop leggero. XFCE è una scelta solida per VNC perché consuma poco e parte senza troppe dipendenze.

sudo apt install tigervnc-standalone-server tigervnc-common xfce4 xfce4-goodies

Se preferisci un set più minimale, puoi ridurre i pacchetti XFCE, ma per una prima installazione conviene includere anche i componenti accessori. Dopo l’installazione, verifica che i binari siano presenti:

command -v vncserver

Atteso: il comando restituisce un path tipo /usr/bin/vncserver. Se non lo trova, il pacchetto non è installato correttamente.

Creazione dell’utente dedicato

Non usare root per VNC. Crea un utente dedicato, ad esempio vncuser, e usa quello per la sessione grafica. È una scelta di minimo privilegio e semplifica anche il rollback.

sudo adduser vncuser

Assegna una password robusta e, se serve, aggiungi l’utente ai gruppi necessari al tuo contesto. In genere per una sessione desktop standard non serve altro.

Verifica l’home directory:

getent passwd vncuser

Atteso: home valida, ad esempio /home/vncuser. Se l’account non ha home corretta, VNC avrà problemi a creare configurazione e file di sessione.

Configurazione iniziale di VNC

Passa all’utente dedicato e imposta la password VNC. Questa password è separata dalla password di login Linux.

sudo -iu vncuser vncpasswd

Ti verrà chiesta una password per l’accesso VNC e, opzionalmente, una password di sola visualizzazione. Per amministrazione normale basta la password principale.

Ora crea il file di avvio della sessione, che indica quale desktop lanciare quando parte il server VNC. Il file tipico è /home/vncuser/.vnc/xstartup.

sudo -iu vncuser nano /home/vncuser/.vnc/xstartup

Contenuto consigliato per XFCE:

#!/bin/sh
unset SESSION_MANAGER
unset DBUS_SESSION_BUS_ADDRESS
exec startxfce4

Rendi eseguibile il file:

sudo -iu vncuser chmod +x /home/vncuser/.vnc/xstartup

Se il file non è eseguibile, la sessione VNC spesso parte ma mostra schermo nero o si chiude subito. Questo è uno dei punti che vanno controllati per primi.

Primo avvio manuale del server VNC

Avvia una sessione di test sull display :1, che corrisponde in genere alla porta TCP 5901.

sudo -iu vncuser vncserver :1 -geometry 1920x1080 -depth 24

Atteso: output con conferma della creazione della sessione e della porta in ascolto. Se il comando fallisce, il log VNC è il primo punto da leggere.

Log tipico:

sudo -iu vncuser cat /home/vncuser/.vnc/*.log

Cerca errori come:

• xrdb: No such file or directory o problemi di sessione desktop.
• startxfce4: command not found se XFCE non è installato correttamente.
• Session startup via '/home/vncuser/.vnc/xstartup' cleanly exited too early se lo script non avvia nulla.

Per verificare che la porta sia in ascolto, usa:

ss -ltnp | grep 5901

Atteso: una riga in ascolto su 127.0.0.1:5901 o sull’indirizzo configurato. Se ascolta su 0.0.0.0 senza bisogno, conviene restringere la bind per sicurezza.

Creazione del servizio systemd

Per non gestire il VNC a mano a ogni riavvio, crea un’unità systemd. Su Debian 12 è la soluzione più pulita per avvio automatico e controllo stato.

Crea il file /etc/systemd/system/vncserver@.service:

sudo nano /etc/systemd/system/vncserver@.service

Contenuto di riferimento:

[Unit]
Description=TigerVNC server for %i
After=network.target

[Service]
Type=forking
User=vncuser
Group=vncuser
WorkingDirectory=/home/vncuser
PIDFile=/home/vncuser/.vnc/%H:%i.pid
ExecStartPre=-/usr/bin/vncserver -kill %i
ExecStart=/usr/bin/vncserver %i -geometry 1920x1080 -depth 24 -localhost
ExecStop=/usr/bin/vncserver -kill %i
Restart=on-failure

[Install]
WantedBy=multi-user.target

Nota importante: l’opzione -localhost fa sì che VNC ascolti solo su loopback. È la scelta consigliata; l’accesso avviene poi tramite tunnel SSH.

Ricarica systemd e abilita il servizio:

sudo systemctl daemon-reload
sudo systemctl enable --now vncserver@:1.service

Verifica stato:

systemctl status vncserver@:1.service

Atteso: stato active (running). Se è failed, controlla subito i log con:

journalctl -u vncserver@:1.service -b --no-pager

Accesso remoto sicuro con tunnel SSH

La configurazione corretta non espone VNC su Internet. Si usa SSH per inoltrare la porta locale verso il server Debian.

Dal client remoto:

ssh -L 5901:127.0.0.1:5901 vncuser@IP_DEL_SERVER

Quindi apri il client VNC sul tuo PC e connettiti a 127.0.0.1:5901 oppure localhost:5901. Il traffico passa dentro SSH.

Se vuoi verificare che il tunnel sia attivo, controlla sul client che la connessione SSH resti aperta e che la porta locale sia in ascolto:

ss -ltn | grep 5901

Atteso: ascolto locale sul client. Se il client VNC non si connette, il problema è spesso nel tunnel o nel firewall locale del server che blocca SSH.

Firewall e superficie d’attacco

Se usi il tunnel SSH, l’unica porta che devi esporre è SSH. La porta VNC non dovrebbe essere raggiungibile dall’esterno. Questa è la misura più importante per ridurre la superficie d’attacco.

Con UFW, ad esempio, consenti SSH e basta:

sudo ufw allow OpenSSH
sudo ufw enable
sudo ufw status verbose

Atteso: porta 22 consentita, nessun permesso per 5901. Se hai un firewall esterno o una security group cloud, applica la stessa logica lì.

Se per qualche motivo devi esporre VNC in rete, fallo solo su rete privata o VPN e con regole di accesso molto strette. Esporre VNC direttamente su Internet è una cattiva idea operativa.

Risoluzione dei problemi più comuni

Schermo nero: quasi sempre il file xstartup non avvia il desktop o manca il permesso di esecuzione. Verifica chmod +x e il contenuto dello script.

Sessione che si chiude subito: guarda il log in /home/vncuser/.vnc/. Spesso manca XFCE o c’è un errore nella sessione grafica.

Porta occupata: controlla con ss -ltnp | grep 5901. Se un vecchio processo è rimasto appeso, ferma il servizio e ripulisci la sessione.

Autenticazione fallita: rigenera la password con vncpasswd per l’utente corretto. Ricorda che la password VNC non coincide con quella di sistema.

Non raggiungibile da client: verifica tunnel SSH, firewall, stato servizio e log. La sequenza giusta è: servizio attivo, porta locale in ascolto, tunnel attivo, client collegato.

Hardening minimo consigliato

Per un uso serio, applica queste misure:

• Usa un utente dedicato senza privilegi amministrativi.
• Tieni VNC in ascolto solo su 127.0.0.1 con -localhost.
• Consenti accesso solo via SSH con chiavi, non password, se possibile.
• Aggiorna regolarmente il sistema con apt update && apt upgrade.
• Monitora i log di systemd e della sessione VNC.

Se vuoi ridurre ulteriormente il rischio, disabilita il login SSH con password e usa chiavi con passphrase. Questo non riguarda VNC in sé, ma alza molto l’asticella di sicurezza dell’accesso remoto.

Disinstallazione e rollback

Se devi tornare indietro, il rollback è semplice perché la configurazione è separata e poco invasiva. Prima ferma e disabilita il servizio:

sudo systemctl disable --now vncserver@:1.service

Poi rimuovi il file di unità e ricarica systemd:

sudo rm /etc/systemd/system/vncserver@.service
sudo systemctl daemon-reload

Se vuoi eliminare anche il pacchetto:

sudo apt remove tigervnc-standalone-server tigervnc-common

Opzionale, se l’utente era creato solo per questo scopo, rimuovi anche l’account dopo aver verificato che non serva ad altro. Prima fai sempre backup dei file in /home/vncuser/.vnc/ se vuoi conservare la configurazione.

Configurazione finale consigliata

La combinazione più robusta su Debian 12 è questa: TigerVNC, utente dedicato, XFCE, servizio systemd, -localhost, accesso solo via tunnel SSH. È semplice da mantenere e abbastanza standard da essere trasferibile tra server diversi.

Assunzione: il server è Debian 12 aggiornato, hai accesso sudo, e vuoi una soluzione amministrativa sicura più che una pubblicazione pubblica del desktop.

Se vuoi, il passo successivo sensato è aggiungere un secondo display VNC per utenti diversi, oppure integrare il tutto con VPN e policy di accesso più strette.