关于OpenStack中虚拟机VNC访问安全问题

admin

关于openstack中虚拟机VNC访问安全问题
前几天收到甲方给出的文件信息，线上OpenStack环境的物理机VNC端口能够自由访问，要求整改。
& n- U$ |: E5 D( y! R& u9 v" H随机抽查了两台宿主机的VNC端口，确实很多业务的同学使用noVNC后没有退出终端的习惯，往往都是用完了就直接关闭窗口。不得不说这样隐患很大啊，首先不说通过外部方式规避风险，如果内网里面有一些script kiddie随时都能将我们线上的虚拟机VNC端口扫出来干些坏事。我这里也用过nmap测试了下开发环境的网络端口，如下：
[root@controller1 ~]# nmap 10.161.53.1
Starting Nmap 6.40 ( http://nmap.org ) at 2022-01-17 09:46 CST
' a0 E5 N2 H- i7 z& FNmap scan report for compute10 (10.161.53.1)
, P( R! n1 X1 OHost is up (0.000080s latency).
Not shown: 989 closed ports
PORT     STATE SERVICE
22/tcp   open  ssh
8 I4 _0 X% R; d" @3 q( a5900/tcp open  vnc
/ I3 @, M2 n% j2 ^5901/tcp open  vnc-1
7 w- k  u7 I# k; l- B0 e$ V$ R/ j9 j5902/tcp open  vnc-2
5903/tcp open  vnc-3
' S, J- C* n% \5 d1 _' o  O2 f/ c5904/tcp open  unknown
) z& D' U. t+ i5 y9 I5 C, S5906/tcp open  unknown
5907/tcp open  unknown
5910/tcp open  cm
9 r7 D+ G8 F) V3 i& J6 }: e6 c8 {5911/tcp open  cpdlc
8022/tcp open  oa-system
+ G: W# Z$ K# g8 KMAC Address: D4:5D:64:08:45:02 (Unknown)
( E; M7 f2 x" ?) [, f3 y' ENmap done: 1 IP address (1 host up) scanned in 1.65 seconds
[root@controller1 ~]# nmap 10.161.53.2
Starting Nmap 6.40 ( http://nmap.org ) at 2022-01-17 09:46 CST
Nmap scan report for compute11 (10.161.53.2)
Host is up (0.000070s latency).
Not shown: 989 closed ports
PORT     STATE SERVICE
22/tcp   open  ssh
6 l5 |+ Z& B0 r* }5900/tcp open  vnc
7 o! V4 A* t+ z" h( B; U9 D5901/tcp open  vnc-1
5902/tcp open  vnc-2
5903/tcp open  vnc-3
/ ^7 X0 n$ T+ F: `' i/ ?, u' \5 P& y5904/tcp open  unknown
6 q! W$ P- S7 J0 G* }5906/tcp open  unknown
$ r) W1 M* W6 B; q5907/tcp open  unknown
$ |/ g9 i! t  {/ S$ b5911/tcp open  cpdlc
) F# P! s* {( a: [5915/tcp open  unknown
2 d. t0 E7 L4 j8022/tcp open  oa-system
5 O8 N. B* b4 z4 d, wMAC Address: D4:5D:64:07:B3:DA (Unknown)
, a5 D& s" y3 ~. z' ]Nmap done: 1 IP address (1 host up) scanned in 1.67 seconds
[root@controller1 ~]# nmap 10.161.53.3
, E& ?( r; S4 P( V, \! ZStarting Nmap 6.40 ( http://nmap.org ) at 2022-01-17 09:46 CST
, N! p# F: }" f' q) q6 ~Nmap scan report for compute01 (10.161.53.3)
7 d: Z( k( i' R& KHost is up (0.000076s latency).
- L7 c$ C& X" Y1 INot shown: 992 closed ports
PORT     STATE SERVICE
22/tcp   open  ssh
5900/tcp open  vnc
5901/tcp open  vnc-1
5902/tcp open  vnc-2
3 Y9 W1 I' u$ L4 v& A5903/tcp open  vnc-3
2 ]# o" }1 S+ L- e& ?5904/tcp open  unknown
3 L2 A7 q0 \( ]- ?# c" W: c5 d- Z5906/tcp open  unknown
2 C& n1 t0 d; @4 S9 x$ W8022/tcp open  oa-system
MAC Address: D4:5D:64:08:45:5E (Unknown)
2 P( G  f7 D2 e5 MNmap done: 1 IP address (1 host up) scanned in 1.68 seconds
[root@controller1 ~]# nmap 10.161.53.4
- s, U) y, q& d9 BStarting Nmap 6.40 ( http://nmap.org ) at 2022-01-17 09:46 CST
# p+ V" I, M1 |7 {: rNmap scan report for compute02 (10.161.53.4)
- Z( W% h0 j6 h7 RHost is up (0.000081s latency).
' s9 ], v# t- q- A$ F& D1 I6 MNot shown: 988 closed ports
PORT     STATE SERVICE
22/tcp   open  ssh
* B# l/ k, t, ^5900/tcp open  vnc
% J  I7 I  o6 a- q# w( Z5901/tcp open  vnc-1
5 C; H; X1 M: E' {" j5902/tcp open  vnc-2
7 l# T% ]* o+ P9 Z5903/tcp open  vnc-3
5904/tcp open  unknown
5906/tcp open  unknown
& u3 _9 F! Z* s& _2 x5907/tcp open  unknown
5910/tcp open  cm
6 N$ K# ~& {2 t1 u: K. N6 M5911/tcp open  cpdlc
& `- D; H* f% B2 o% ]3 _5915/tcp open  unknown
* a1 M- ]) p3 {8022/tcp open  oa-system
* L" V' g3 u! K7 }: xMAC Address: D4:5D:64:08:45:D6 (Unknown)
Nmap done: 1 IP address (1 host up) scanned in 1.67 seconds
[root@controller1 ~]# nmap 10.161.53.5
Starting Nmap 6.40 ( http://nmap.org ) at 2022-01-17 09:47 CST
8 t# w# p6 M- t/ @9 P$ r" y1 f" |4 QNmap scan report for compute03 (10.161.53.5)
Host is up (0.000082s latency).
6 t. j% \. ~5 w3 r9 U' JNot shown: 993 closed ports
PORT     STATE SERVICE
7 l. L" B* b5 E- \4 C4 G, ~22/tcp   open  ssh
8 J" X7 I& }8 B5900/tcp open  vnc
5901/tcp open  vnc-1
4 {3 R7 ?( u/ B/ J5902/tcp open  vnc-2
, d8 b/ Y1 s" G5 ^5903/tcp open  vnc-3
5904/tcp open  unknown
% f7 {1 e3 \7 |4 M/ A1 G8022/tcp open  oa-system
5 [' N' [% p0 H. [MAC Address: D4:5D:64:08:44:DE (Unknown)
8 i4 J5 H% s. a/ o7 q/ J" VNmap done: 1 IP address (1 host up) scanned in 1.67 seconds
* l0 ^/ {6 a" R; d; V[root@controller1 ~]# nmap 10.161.53.6
Starting Nmap 6.40 ( http://nmap.org ) at 2022-01-17 09:47 CST
3 r4 j9 q+ P9 j: dNmap scan report for controller1 (10.161.53.6)
Host is up (0.000014s latency).
Not shown: 992 closed ports
0 z3 b" C, d) N% d# E6 O2 hPORT     STATE    SERVICE
22/tcp   open     ssh
80/tcp   open     http
8 |- K; f: ?1 Q8 _* Z0 _  ^7 E8 K  U1984/tcp open     bigbrother
3306/tcp open     mysql
+ v) T$ w, q& E) u4000/tcp filtered remoteanything
4567/tcp open     tram
5000/tcp open     upnp
5001/tcp open     commplex-link
5 @7 k, @& c4 ?) B% j- VNmap done: 1 IP address (1 host up) scanned in 2.75 seconds
, W( Z0 C( K( ~: [. ][root@controller1 ~]# nmap 10.161.53.7
Starting Nmap 6.40 ( http://nmap.org ) at 2022-01-17 09:47 CST
" A2 j9 ^' g1 c( l& J" tNmap scan report for controller2 (10.161.53.7)
Host is up (0.000078s latency).
Not shown: 993 closed ports
1 `7 p$ d6 K6 V9 Y4 j! n9 XPORT     STATE SERVICE
9 r; k$ H4 Z4 J4 s! F' t8 S22/tcp   open  ssh
80/tcp   open  http
1984/tcp open  bigbrother
% J8 h2 n# ~2 L: ?. H+ B3306/tcp open  mysql
- z6 a! ?% }. n" N3 k: i4567/tcp open  tram
* u% y# n2 Z; P0 c# v- @5000/tcp open  upnp
8 S4 M: G# r6 _6 i8 U5001/tcp open  commplex-link
MAC Address: D4:5D:64:08:45:0A (Unknown)
Nmap done: 1 IP address (1 host up) scanned in 1.55 seconds

结果太恐怖了吧，如果有业务同学在使用noVNC之后没有退出终端，那么另一个人如果知道了宿主机的IP和端口是完全可以登录这台虚拟机的，直接操作虚机，后果不堪设想：

解决
3 \8 P2 o' b* @1 m0 A知道了问题，那就有对应的解决方案！
4 a. u3 A8 ]8 O4 W, I+ a目前我们暂时只想到两个方法来解决这个问题，其他方法还有待大牛给予指导：
  J5 a4 B7 m) a  d. v" L  o
" x( G( \5 i: Y) `方案一
+ v& o4 ^5 W+ E通过firewalld限制INPUT表对5900:6000的访问规则
! f( ~" b2 P. ^, ]4 ~% C2 j8 [方案二
添加密码访问VNC
8 P) R% ~3 o8 b! O
2 t' b  P% e- {# ~7 s. }7 D操作
: J- e7 Z4 O. y+ ]5 ^firewalld
; O1 i2 u6 o( m$ N我们知道OpenStack通过VNC Proxy将管理网和业务网隔离开来，以便我们可以使用管理网络的6080端口访问虚拟机VNC，同时提供Token用于验证访问的合法性。一个VNC Proxy在OpenStack里的处理流程如下：
1 L7 i' a* V# m# s& c( k3 X7 x' VVNC Porxy处理流程
1. 一个用户试图从浏览器里面打开连接到虚拟机的VNC Client
( W* ]) L+ L! @' j9 u! {2. 浏览器向nova-api发送请求，要求返回访问vnc的url
3. nova-api调用nova-compute的get vnc console方法，要求返回连接VNC的信息
4.nova-compute调用libvirt的get vnc console函数
5.libvirt会通过解析虚拟机运行的/etc/libvirt/qemu/instance-0000000c.xml文件来获得VNC Server的信息
6.libvirt将host, port等信息以json格式返回给nova-compute
7.nova-compute会随机生成一个UUID作为Token
+ w9 }3 m; s2 H* S* I' H: O1 n8.nova-compute将libvirt返回的信息以及配置文件中的信息综合成connect_info返回给nova-api
) x9 @5 ^7 L9 g. q! @( Q& U9.nova-api会调用nova-consoleauth的authorize_console函数
10.nova-consoleauth会将instance –> token, token –> connect_info的信息cache起来
11.nova-api将connect_info中的access url信息返回给浏览器：http://contorller:6080/vnc_auto.html?token=7efaee3f-eada-4731-a87c-e173cbd25e98&title=helloworld%289169fdb2-5b74-46b1-9803-60d2926bd97c%29
12.浏览器会试图打开这个链接
/ Q+ j" U* u3 {( ~& n13.这个链接会将请求发送给nova-novncproxy
+ @" M4 J: b, I+ A( ~4 O* o14.nova-novncproxy调用nova-consoleauth的check_token函数
15.nova-consoleauth验证了这个token，将这个instance对应的connect_info返回给nova-novncproxy
( |- }# n7 {) T9 u+ b16.nova-novncproxy通过connect_info中的host, port等信息，连接compute节点上的VNC Server，从而开始了proxy的工作
9 J+ ^% C& n0 Z3 X这里重要的就是第16步, nova-novncproxy是通过连接host:vncport的方式提供vnc访问服务。
- L: d' ]4 Y# K9 W+ Q; N& Y7 q那么也就是说，计算节点的VNC端口只需要让nova-novncporxy服务能够访问就行，有了这个就好办了。
操作firewalld
在所有计算节点firewalld的INPUT表中添加如下规则：

1 G7 }1 F9 @2 d' o* x' B检查防火墙是否启动：
% i1 T: ?6 J6 _8 Nsystemctl status firewalld.service
启动防火墙：
systemctl start  firewalld.service
; m1 z/ V/ Y" W+ m8 [7 n
; s, m; J) I0 m+ o
- n0 l+ F7 ?# x! ~开机启动防火墙：
systemctl enable firewalld.service
  j3 T; R4 w# r# }- N2 T7 j添加规则：
  firewall-cmd --permanent --add-rich-rule="rule family="ipv4" source address="10.161.53.6" port protocol="tcp" port="5900-6000" accept"
) `5 U. T- p2 R+ Z   firewall-cmd --permanent --add-rich-rule="rule family="ipv4" source address="10.161.53.100" port protocol="tcp" port="5900-6000" accept"
; G. w1 \1 J5 x firewall-cmd --reload
" T" v( T0 m6 h' v4 y firewall-cmd --list-all
- r  F- M0 g+ t7 l删除规则：
1 a- h1 l  j" q5 u3 O  firewall-cmd --permanent --remove-rich-rule="rule family="ipv4" source address="10.161.53.6" port protocol="tcp" port="5900-6000" accept"

  ^1 J4 t) Z+ n  D! A; e7 { firewall-cmd --reload
firewall-cmd --list-all


添加防火墙规则：
; ~0 x8 a4 Q& `9 k4 Tfirewall-cmd --permanent --add-rich-rule="rule family="ipv4" source address="10.161.53.31/27" port protocol="tcp" port="5900-6000" accept"
( Q7 {4 }: L( w; @
# f% w4 e- `8 J# cfirewall-cmd --reload
. D' \  P. G# q2 x4 H9 r
通过测试上面开启的firewalld会导致业务无法访问。
这里改变方式使用iptables的规则吧：
* m) `, W' ?/ H* R' O2 }2 M2 Y3 h
iptables -A INPUT -s 10.161.53.31/27 -p tcp -m multiport --dports 5900:5999 -m comment --comment "ACCEPT VNC Port only by Controller Node" -j ACCEPT
% a: w6 Q4 V& b3 v% y iptables -L
iptables -A INPUT -p tcp -m multiport --dports 5900:5999 -j REJECT --reject-with icmp-port-unreachable

% E3 R0 b9 l6 s
" Y3 u' n) L9 n6 ]
+ u" u' l! X) {+ o0 O# y  V7 b& W

admin

4.解决方案
0 o( x9 x" ^1 ]3 g( C' ?
①从交换和防火墙的ACL控制IP访问
; ]4 g& E3 r) K5 n9 I' _. r# T②修改各计算节点 nova.conf中 vncserver_listen 配置为内网 IP ，保证新建虚机没问题
( d# @2 b% Z% I( R/ Q; S③现有以及之后新建的的虚拟机，修改 libvirt.xml 中的 vnc 的监听端口，保证虚机重启后不会向公网开放端口
" B9 R" j0 E1 w! K9 n④修改IPtables配置规则，屏蔽端口访问，把除内网以外网段的5900~5999端口给封禁
# o2 L- t3 ~4 p/ n+ l⑤vnc增加访问密码

下面针对方法④和方法⑤进行详细的说明。
& {+ _4 i7 W7 l7 j: ~* J+ ]④配置IPtables
根据OpenStack VNC Proxy 流程分析中的，第16步, nova-novncproxy是通过连接host:vncport的方式提供vnc访问服务。即，计算节点的VNC端口只需要允许让nova-novncporxy服务能够访问就行。
6 ~& Z8 N* Q4 b# S! g在所有计算节点IPTABLES的INPUT表中添加如下规则：

+ F$ b& E7 _. H8 O

admin

①从交换和防火墙的ACL控制IP访问
$ E" g( v: l9 `' m" @* {8 Y$ `9 O②修改各计算节点 nova.conf中 vncserver_listen 配置为内网 IP ，保证新建虚机没问题
) b& |7 a, t7 X' X  f# W③现有以及之后新建的的虚拟机，修改 libvirt.xml 中的 vnc 的监听端口，保证虚机重启后不会向公网开放端口
④修改IPtables配置规则，屏蔽端口访问，把除内网以外网段的5900~5999端口给封禁
⑤vnc增加访问密码
1 z- T; L" e: O, W7 e8 n  B' }* W下面针对方法④和方法⑤进行详细的说明。
④配置IPtables
) [$ G( {5 _# w. V0 n根据OpenStack VNC Proxy 流程分析中的，第16步, nova-novncproxy是通过连接host:vncport的方式提供vnc访问服务。即，计算节点的VNC端口只需要允许让nova-novncporxy服务能够访问就行。
+ Z; r/ q4 z- y. c6 T
6 c6 y3 N4 I/ h- X( l- }! E+ n在所有计算节点IPTABLES的INPUT表中添加如下规则：
- Q9 I. Z3 @2 O, F& Z2 f
$ iptables -A INPUT -s {{ CONTROLLER_NODE_IP }}/32 -p tcp -m multiport --dports 5900:5999 -m comment --comment "ACCEPT VNC Port only by Controller Node" -j ACCEPT

$ iptables -A INPUT -p tcp -m multiport --dports 5900:5999 -j REJECT --reject-with icmp-port-unreachable

& t2 C& f3 A1 C" y" P5 c/ ^意思就是只允许控制节点访问本机的5900-5999端口，其他的一律拒绝。
当再次使用nmap进行扫描时，便不能看到VNC的端口。
& z5 L. z% }& [7 _) B" J
$ nmap 10.161.53.1 5900
' g! b  T# j9 T, i9 ]. J⑤VNC添加访问密码
对应的配置文件为：virt/libvirt/config.py
) Z; m- x: {# Z  z1 _5 C7 j
/ V8 _$ W3 O' _' S( P& zlibvirtd在<graphics>域里面是支持配置VNC的访问密码

...
. U4 J" A* k" E) f5 a" r/ q; Z' T <graphics type='vnc' port='-1' autoport='yes' listen='192.168.23.59' passwd='YOUR-PASSWORD-HERE' keymap='en-us'/>
...
( d+ s. X& Y  y，那么Nova在创建虚拟机配置的方法中也可以找到对应graphics的代码，我这里修改得很简单，直接在返回的dev列表里面添加个passwd的value，而value就是VNC的访问密码。
* P; D- o1 K. B: n" p2 L: }
class LibvirtConfigGuestGraphics(LibvirtConfigGuestDevice):
- @* N1 @. W  z' e& [; m
    def __init__(self, **kwargs):
6 B  {; e  z2 u# L. ]. F" [8 }( `% v+ D         super(LibvirtConfigGuestGraphics, self).__init__(root_name="graphics",
) j" A4 r" j- o$ W6 [: j                                                          **kwargs)

         self.type = "vnc"
         self.autoport = True
         self.keymap = None
* ^+ n/ P5 ^8 f& w) s1 X7 ~  r         self.listen = None
$ N( z+ K) T) J
     def format_dom(self):
- w) R  L' Z  ]# G1 L  T  `- @5 [         dev = super(LibvirtConfigGuestGraphics, self).format_dom()

" q7 v6 v, U) A% Z, l! A         dev.set("type", self.type)
/ p3 A5 S  R- |/ w) `         if self.autoport:
             dev.set("autoport", "yes")
         else:
             dev.set("autoport", "no")
         if self.keymap:
" t. n& n+ V, `3 t             dev.set("keymap", self.keymap)
  I2 z& ?1 |0 e* j! o1 f         if self.listen:
; S& Z% Y% J" p. b' t# E             dev.set("listen", self.listen)
#       dev.set("passwd", "123456")
- S5 S$ b) K3 ]! g3 A/ ^         return dev
其中dev.set("passwd", "123456")是新加入的一行，如果不需要vnc访问输入密码，直接注释掉即可。
下面是一次解决过程，因开发环境使用的是容器化部署，文件路径比较长。
) q4 X' P: B$ q" e1 Z% Y解决过程
查找文件

root@controller1:~# find /var/lib/docker/aufs/diff  -name config.py | grep nova
% O  S/ b# X. Z, {7 t% Y/var/lib/docker/aufs/diff/pr0XDEZwLDflwwzUPc0mNVYwf6b3wJ4wxEwxNBRlmKMD7qRurdlBck41J8hAkjd3/usr/lib/python2.7/dist-packages/nova/config.py
/var/lib/docker/aufs/diff/pr0XDEZwLDflwwzUPc0mNVYwf6b3wJ4wxEwxNBRlmKMD7qRurdlBck41J8hAkjd3/usr/lib/python2.7/dist-packages/nova/virt/libvirt/config.py
# }$ @% A. n. s7 Y: Z9 k+ V$ m7 p/var/lib/docker/aufs/diff/pr0XDEZwLDflwwzUPc0mNVYwf6b3wJ4wxEwxNBRlmKMD7qRurdlBck41J8hAkjd3/usr/lib/python2.7/dist-packages/nova/common/config.py
进入配置文件所在路径

- u3 C' p8 ^" aroot@controller01:~# cd /var/lib/docker/aufs/diff/pr0XDEZwLDflwwzUPc0mNVYwf6b3wJ4wxEwxNBRlmKMD7qRurdlBck41J8hAkjd3/usr/lib/python2.7/dist-packages/nova/virt/libvirt/
root@controller01:/var/lib/docker/aufs/diff/pr0XDEZwLDflwwzUPc0mNVYwf6b3wJ4wxEwxNBRlmKMD7qRurdlBck41J8hAkjd3/usr/lib/python2.7/dist-packages/nova/virt/libvirt# ls
blockinfo.py   compat.py   config.py          config.pyc   designer.pyc  driver.pyc   firewall.pyc  guest.pyc  host.pyc         imagebackend.pyc  imagecache.pyc  __init__.pyc           instancejobtracker.pyc  migration.pyc  utils.py   vif.py   volume
blockinfo.pyc  compat.pyc  config.py.bak.ori  designer.py  driver.py     firewall.py  guest.py      host.py    imagebackend.py  imagecache.py     __init__.py     instancejobtracker.py  migration.py            storage        utils.pyc  vif.pyc
修改配置文件

root@controller1:/var/lib/docker/aufs/diff/pr0XDEZwLDflwwzUPc0mNVYwf6b3wJ4wxEwxNBRlmKMD7qRurdlBck41J8hAkjd3/usr/lib/python2.7/dist-packages/nova/virt/libvirt# vim config.py
在这里插入图片描述
/ K0 H  Y/ j" r) H% ^修改后，重启nova-compute服务，即在下次创建虚拟机的时候生效，其结果如下：
( ~8 b' v+ c# Y在这里插入图片描述
9 @; Q2 ~( ~: [2 c4 R! M6 e输入密码virt/libvirt/config.py配置中新增的密码123456即可正进入虚拟机。
1 C( F2 v# i& E

admin

4.解决方案
3 T" X0 n7 U7 P' j7 u$ V7 n$ y①从交换和防火墙的ACL控制IP访问
②修改各计算节点 nova.conf中 vncserver_listen 配置为内网 IP ，保证新建虚机没问题
③现有以及之后新建的的虚拟机，修改 libvirt.xml 中的 vnc 的监听端口，保证虚机重启后不会向公网开放端口
④修改IPtables配置规则，屏蔽端口访问，把除内网以外网段的5900~5999端口给封禁
1 Y- s& M1 A- e, [' G. O1 d⑤vnc增加访问密码
下面针对方法④和方法⑤进行详细的说明。
7 ^( S' s' w* t1 ?- C④配置IPtables
根据OpenStack VNC Proxy 流程分析中的，第16步, nova-novncproxy是通过连接host:vncport的方式提供vnc访问服务。即，计算节点的VNC端口只需要允许让nova-novncporxy服务能够访问就行。

在所有计算节点IPTABLES的INPUT表中添加如下规则：
4 Y2 U' o9 W: s7 C3 u7 Z
$ iptables -A INPUT -s {{ CONTROLLER_NODE_IP }}/32 -p tcp -m multiport --dports 5900:5999 -m comment --comment "ACCEPT VNC Port only by Controller Node" -j ACCEPT
6 R3 T" t5 y6 ^+ l( q7 c  @$ K
7 _( F1 e% T$ b$ z$ iptables -A INPUT -p tcp -m multiport --dports 5900:5999 -j REJECT --reject-with icmp-port-unreachable
0 c/ {7 o& A7 C0 \0 i意思就是只允许控制节点访问本机的5900-5999端口，其他的一律拒绝。
当再次使用nmap进行扫描时，便不能看到VNC的端口。

$ nmap 192.168.23.12
) Q$ Q% t5 |4 t7 b⑤VNC添加访问密码
对应的配置文件为：virt/libvirt/config.py
' d$ k) Z1 J5 @& ?/ x+ c7 a0 v
0 n$ C- l4 S" @8 g/ M* P3 nlibvirtd在<graphics>域里面是支持配置VNC的访问密码

...
<graphics type='vnc' port='-1' autoport='yes' listen='192.168.23.59' passwd='YOUR-PASSWORD-HERE' keymap='en-us'/>
...
，那么Nova在创建虚拟机配置的方法中也可以找到对应graphics的代码，我这里修改得很简单，直接在返回的dev列表里面添加个passwd的value，而value就是VNC的访问密码。

1482 class LibvirtConfigGuestGraphics(LibvirtConfigGuestDevice):
1483
1484     def __init__(self, **kwargs):
( ?7 G8 q9 ^0 ]+ s6 T1485         super(LibvirtConfigGuestGraphics, self).__init__(root_name="graphics",
1486                                                          **kwargs)
5 ]* K+ ?* d+ W8 Y1487
* e3 W. T* N) W( s1 z2 U' q1488         self.type = "vnc"
' C4 L3 h0 S, v* O* L2 ~1489         self.autoport = True
$ R6 y. i+ m. @, w. y1490         self.keymap = None
' O' i0 ]; b) \: n- D8 \' Z1491         self.listen = None
1492
1493     def format_dom(self):
4 j1 S3 A6 T/ |. G. c/ G6 e1494         dev = super(LibvirtConfigGuestGraphics, self).format_dom()
% T) G; Q0 U/ U' i0 b  B. V3 r1495
: t0 H9 o2 S% ~! ]+ c# V1496         dev.set("type", self.type)
1497         if self.autoport:
0 K" U4 c5 g7 Q0 }3 F# ?1498             dev.set("autoport", "yes")
% j$ c( L$ t9 m+ |1499         else:
1500             dev.set("autoport", "no")
) J. U) ~) S0 D( a+ S1501         if self.keymap:
1502             dev.set("keymap", self.keymap)
1503         if self.listen:
1504             dev.set("listen", self.listen)
1505 #       dev.set("passwd", "123456")
1506         return dev
其中dev.set("passwd", "123456")是新加入的一行，如果不需要vnc访问输入密码，直接注释掉即可。
下面是一次解决过程，因开发环境使用的是容器化部署，文件路径比较长。
解决过程
查找文件

root@controller1:~# find /var/lib/docker/aufs/diff  -name config.py | grep nova
/var/lib/docker/aufs/diff/pr0XDEZwLDflwwzUPc0mNVYwf6b3wJ4wxEwxNBRlmKMD7qRurdlBck41J8hAkjd3/usr/lib/python2.7/dist-packages/nova/config.py
/var/lib/docker/aufs/diff/pr0XDEZwLDflwwzUPc0mNVYwf6b3wJ4wxEwxNBRlmKMD7qRurdlBck41J8hAkjd3/usr/lib/python2.7/dist-packages/nova/virt/libvirt/config.py
7 W5 J0 J6 m4 d0 X" o/var/lib/docker/aufs/diff/pr0XDEZwLDflwwzUPc0mNVYwf6b3wJ4wxEwxNBRlmKMD7qRurdlBck41J8hAkjd3/usr/lib/python2.7/dist-packages/nova/common/config.py
进入配置文件所在路径

8 L" v9 V# k2 ^  G0 B: Groot@controller01:~# cd /var/lib/docker/aufs/diff/pr0XDEZwLDflwwzUPc0mNVYwf6b3wJ4wxEwxNBRlmKMD7qRurdlBck41J8hAkjd3/usr/lib/python2.7/dist-packages/nova/virt/libvirt/
root@controller01:/var/lib/docker/aufs/diff/pr0XDEZwLDflwwzUPc0mNVYwf6b3wJ4wxEwxNBRlmKMD7qRurdlBck41J8hAkjd3/usr/lib/python2.7/dist-packages/nova/virt/libvirt# ls
blockinfo.py   compat.py   config.py          config.pyc   designer.pyc  driver.pyc   firewall.pyc  guest.pyc  host.pyc         imagebackend.pyc  imagecache.pyc  __init__.pyc           instancejobtracker.pyc  migration.pyc  utils.py   vif.py   volume
9 N) L1 l( J* N" }blockinfo.pyc  compat.pyc  config.py.bak.ori  designer.py  driver.py     firewall.py  guest.py      host.py    imagebackend.py  imagecache.py     __init__.py     instancejobtracker.py  migration.py            storage        utils.pyc  vif.pyc
; `  R3 e! P8 R0 c' Y9 [修改配置文件

% I) N$ \7 p2 d. z  C  _2 Zroot@controller1:/var/lib/docker/aufs/diff/pr0XDEZwLDflwwzUPc0mNVYwf6b3wJ4wxEwxNBRlmKMD7qRurdlBck41J8hAkjd3/usr/lib/python2.7/dist-packages/nova/virt/libvirt# vim config.py