SSH X11 forwarding (проброс X11)

Что значит ssh -X и как работает проброс X11

X11 это оконная система, которую используют графические программы в Linux и Unix. Программа является X-клиентом и рисует на X-сервере, то есть на дисплее перед вами. Обычно оба работают на одной машине. С ssh -X клиент запускается на удалённом сервере, а ssh переносит соединение с дисплеем обратно на ваш локальный X-сервер, так что окно открывается на вашем экране.

Механизм описан в справке ssh(1). Переменная DISPLAY на сервере указывает на прокси X-сервер на хосте сервера с номером дисплея больше нуля, а ssh пересылает каждое соединение на ваш настоящий дисплей. Данные Xauthority на сервере содержат случайный cookie, который подменяется настоящим только при открытии соединения, поэтому настоящий cookie на сервер не попадает.

Связанные опции: -X включает проброс, -x отключает, -Y включает доверенный проброс. В ssh_config(5) соответствующие опции ForwardX11 и ForwardX11Trusted по умолчанию равны no.

Команды и безопасная проверка

Для разовой графической сессии начните с -X и переходите на -Y только для полностью доверенного сервера и только если программа не работает в недоверенном режиме. Чтобы это было привычкой для отдельного хоста, а не общей настройкой, пропишите его в ~/.ssh/config:

ssh -X web1 'echo $DISPLAY'

Host gui-box
    HostName gui.example.com
    ForwardX11 yes

Первая команда должна вывести значение вроде localhost:10.0: это подтверждает, что туннель есть, ещё до запуска программ. На вашей машине нужен X-сервер (например, XQuartz в macOS), а sshd на удалённой стороне требует программу xauth, путь к которой задаёт XAuthLocation.

На сервере проверьте, что действует на самом деле:

sudo sshd -T | grep -iE '^(x11forwarding|x11uselocalhost|x11displayoffset)'

Любые изменения проверяйте на нерабочей машине и перед перезагрузкой выполняйте sudo sshd -t, как описано на странице sshd_config.

Риски для безопасности и типичные ошибки

Справка ssh(1) предупреждает: тот, кто может обойти права доступа к файлам на удалённом хосте, получает доступ к вашему локальному дисплею X11 через проброшенное соединение, а атакующий может перехватывать нажатия клавиш. В этом и состоит настоящая цена: скомпрометированный сервер добирается до графической сессии на вашей рабочей станции, где обычно лежит гораздо больше ваших данных, чем на сервере.

Доверенный режим опаснее. По ssh_config(5), при ForwardX11Trusted yes удалённые клиенты получают полный доступ к исходному дисплею, а значение по умолчанию no считает их недоверенными под ограничениями расширения X11 SECURITY. Недоверенный проброс к тому же по умолчанию отключается через двадцать минут (ForwardX11Timeout), поэтому долгоживущая программа может перестать открывать новые окна. Многие в ответ включают -Y везде, и это типичная ошибка: меняйте тайм-аут или рабочий процесс, а не ослабляйте защиту.

Ещё одна ошибка: оставить X11Forwarding yes в конфиге сервера после разовой настройки и забыть об этом. На стороне сервера X11UseLocalhost (по умолчанию yes) привязывает слушатель проброса к loopback; не ставьте no без веской причины.

Проброс X11 и защита сервера

Большинство серверов работают без экрана и в графическом пробросе не нуждаются. В справке sshd_config(5) у X11Forwarding значение по умолчанию no, а руководство по защите SSH задаёт его явно в своём чек-листе. Явная настройка полезна, потому что дистрибутив может поставлять конфиг с другим значением, а итог показывает sshd -T. Это согласуется с общим правилом из чек-листа безопасности VPS: сокращайте то, что открыто наружу.

X11Forwarding no

Общий выключатель DisableForwarding yes отключает проброс X11, агента, TCP и StreamLocal и переопределяет остальные опции проброса, но сломает и схемы с промежуточным хостом, поэтому ограничивайте его блоками Match. Справка добавляет оговорку: отключение проброса X11 не мешает решительному пользователю пробросить трафик самостоятельно, поэтому сочетайте его с принципом наименьших привилегий. Если нужен графический инструмент, лучше использовать локальный клиент к сервису через туннель или отдельный краткоживущий административный хост.

Связанные термины: SSH, sshd_config, Проброс SSH-агента, Принцип наименьших привилегий, Bastion host (бастионный хост).