关于OpenStack中虚拟机VNC访问安全问题

admin

关于openstack中虚拟机VNC访问安全问题
  _- f# Q" b* r& C/ u7 |, r. l前几天收到甲方给出的文件信息，线上OpenStack环境的物理机VNC端口能够自由访问，要求整改。
7 g  b- q1 H1 S9 d  u- f2 P4 Z随机抽查了两台宿主机的VNC端口，确实很多业务的同学使用noVNC后没有退出终端的习惯，往往都是用完了就直接关闭窗口。不得不说这样隐患很大啊，首先不说通过外部方式规避风险，如果内网里面有一些script kiddie随时都能将我们线上的虚拟机VNC端口扫出来干些坏事。我这里也用过nmap测试了下开发环境的网络端口，如下：
/ S* o% w0 b3 E0 Y$ v[root@controller1 ~]# nmap 10.161.53.1
Starting Nmap 6.40 ( http://nmap.org ) at 2022-01-17 09:46 CST
Nmap scan report for compute10 (10.161.53.1)
Host is up (0.000080s latency).
' s$ o1 U. I. a2 V! NNot shown: 989 closed ports
PORT     STATE SERVICE
22/tcp   open  ssh
5900/tcp open  vnc
5901/tcp open  vnc-1
: I! r$ G5 f8 k5902/tcp open  vnc-2
) @) U* W# ~0 p' ^. v$ K: _. W5903/tcp open  vnc-3
5904/tcp open  unknown
: J$ N) p. ]3 \  o( H8 H" T+ B5906/tcp open  unknown
" t2 W: K$ m- T6 d5907/tcp open  unknown
5910/tcp open  cm
  Y9 H0 J5 m# o- M0 O7 _& h5911/tcp open  cpdlc
8 b3 F) h! D; \  h/ J. q# m8 m8022/tcp open  oa-system
# l% n9 X, j7 F$ Y, e7 G5 Q8 lMAC Address: D4:5D:64:08:45:02 (Unknown)
6 n! t. b- r2 f0 @Nmap done: 1 IP address (1 host up) scanned in 1.65 seconds
0 Y% y! A5 n- w+ @; U[root@controller1 ~]# nmap 10.161.53.2
Starting Nmap 6.40 ( http://nmap.org ) at 2022-01-17 09:46 CST
Nmap scan report for compute11 (10.161.53.2)
Host is up (0.000070s latency).
Not shown: 989 closed ports
6 F. p# p6 Y6 g3 ?- n: g' _; \PORT     STATE SERVICE
0 Z3 I8 m# q# J22/tcp   open  ssh
5900/tcp open  vnc
5901/tcp open  vnc-1
5902/tcp open  vnc-2
, K$ i. u7 a& V5903/tcp open  vnc-3
5904/tcp open  unknown
5906/tcp open  unknown
+ n7 N1 E- s6 O5907/tcp open  unknown
- Q' W, @6 @  E- C: l7 ~9 Y  Z% A) W5911/tcp open  cpdlc
5915/tcp open  unknown
2 F: o. I, I+ G+ o2 `9 ^8022/tcp open  oa-system
/ j0 ~1 k: i# @/ y% K+ F$ VMAC Address: D4:5D:64:07:B3:DA (Unknown)
/ j/ C2 [/ |) t2 kNmap done: 1 IP address (1 host up) scanned in 1.67 seconds
0 X) }) e3 @* C2 F" i( q8 ?9 R[root@controller1 ~]# nmap 10.161.53.3
Starting Nmap 6.40 ( http://nmap.org ) at 2022-01-17 09:46 CST
Nmap scan report for compute01 (10.161.53.3)
Host is up (0.000076s latency).
Not shown: 992 closed ports
PORT     STATE SERVICE
7 T, F$ X( D5 x+ i' u22/tcp   open  ssh
. S: v7 T; M+ O, A3 n! p/ _. A5900/tcp open  vnc
5901/tcp open  vnc-1
$ p2 z8 o  U" g% }, N1 ?5902/tcp open  vnc-2
& f2 f" t6 q- q5903/tcp open  vnc-3
8 o. W3 |* R+ k) s6 _0 j' o5904/tcp open  unknown
5906/tcp open  unknown
8022/tcp open  oa-system
8 ^$ n7 Z- Y) h9 M% IMAC Address: D4:5D:64:08:45:5E (Unknown)
Nmap done: 1 IP address (1 host up) scanned in 1.68 seconds
[root@controller1 ~]# nmap 10.161.53.4
4 w  z$ l6 X% @2 JStarting Nmap 6.40 ( http://nmap.org ) at 2022-01-17 09:46 CST
Nmap scan report for compute02 (10.161.53.4)
+ s; ~/ R% |2 _& A/ D# E/ |/ o/ c' gHost is up (0.000081s latency).
Not shown: 988 closed ports
PORT     STATE SERVICE
22/tcp   open  ssh
5900/tcp open  vnc
5901/tcp open  vnc-1
5902/tcp open  vnc-2
5903/tcp open  vnc-3
5904/tcp open  unknown
5906/tcp open  unknown
5907/tcp open  unknown
5910/tcp open  cm
5911/tcp open  cpdlc
5915/tcp open  unknown
8022/tcp open  oa-system
MAC Address: D4:5D:64:08:45:D6 (Unknown)
. T7 n& p0 J+ G: F5 v6 O& F# N; K" R* gNmap done: 1 IP address (1 host up) scanned in 1.67 seconds
; O! d+ }2 Y1 X  l8 S: ?( o9 G  b[root@controller1 ~]# nmap 10.161.53.5
Starting Nmap 6.40 ( http://nmap.org ) at 2022-01-17 09:47 CST
; t. w2 i5 S8 ]4 h. `Nmap scan report for compute03 (10.161.53.5)
Host is up (0.000082s latency).
Not shown: 993 closed ports
PORT     STATE SERVICE
22/tcp   open  ssh
, c1 B5 w9 @  p* n, g, ]. o5900/tcp open  vnc
5901/tcp open  vnc-1
( c4 }/ X+ z1 X1 [. @/ T( c/ Q# A5902/tcp open  vnc-2
$ A5 J5 D% a! U5903/tcp open  vnc-3
' P8 A# m3 t( L5904/tcp open  unknown
8022/tcp open  oa-system
MAC Address: D4:5D:64:08:44:DE (Unknown)
9 `, W9 F- H+ e& KNmap done: 1 IP address (1 host up) scanned in 1.67 seconds
[root@controller1 ~]# nmap 10.161.53.6
Starting Nmap 6.40 ( http://nmap.org ) at 2022-01-17 09:47 CST
! R# D( D0 T1 |1 s) oNmap scan report for controller1 (10.161.53.6)
3 t0 l) O+ E# r, ?2 o" T* RHost is up (0.000014s latency).
Not shown: 992 closed ports
! d& \. Y9 h' i8 J% _PORT     STATE    SERVICE
) S. W3 A$ @% V: z3 Q' H22/tcp   open     ssh
80/tcp   open     http
1984/tcp open     bigbrother
% `7 w2 q2 T( P3 {$ h. [: g3306/tcp open     mysql
0 Q, V- e# o3 M) F2 F4000/tcp filtered remoteanything
4567/tcp open     tram
5000/tcp open     upnp
" p. r+ N  `9 o" o5 x5001/tcp open     commplex-link
Nmap done: 1 IP address (1 host up) scanned in 2.75 seconds
[root@controller1 ~]# nmap 10.161.53.7
9 B% r$ ?# C$ v7 W) z) NStarting Nmap 6.40 ( http://nmap.org ) at 2022-01-17 09:47 CST
3 e6 j: w$ `( I/ @* Y3 b+ R6 V. D, v9 @Nmap scan report for controller2 (10.161.53.7)
3 L  |4 g* l0 d0 Y% G# a) zHost is up (0.000078s latency).
Not shown: 993 closed ports
PORT     STATE SERVICE
22/tcp   open  ssh
80/tcp   open  http
% M0 {" Q  T5 ]3 H( a- U1 M1984/tcp open  bigbrother
3306/tcp open  mysql
# E- y2 I9 x4 Z4567/tcp open  tram
* w4 f: R. Y: u5000/tcp open  upnp
5001/tcp open  commplex-link
MAC Address: D4:5D:64:08:45:0A (Unknown)
+ h) J- {* F; C1 A2 TNmap done: 1 IP address (1 host up) scanned in 1.55 seconds

8 Z* o* t( c; n* u6 W4 z结果太恐怖了吧，如果有业务同学在使用noVNC之后没有退出终端，那么另一个人如果知道了宿主机的IP和端口是完全可以登录这台虚拟机的，直接操作虚机，后果不堪设想：
$ b3 O7 V5 M6 f8 R
解决
+ D% _& y. c' L* M* B+ i: ?% m知道了问题，那就有对应的解决方案！
9 d+ @; W# J3 ^/ q( Y+ }8 ]$ }目前我们暂时只想到两个方法来解决这个问题，其他方法还有待大牛给予指导：
; n5 p( Q5 E& Q& e
1 g2 G' I' U: \4 Q4 o* m方案一
通过firewalld限制INPUT表对5900:6000的访问规则
( E2 \! w8 U8 n9 }方案二
添加密码访问VNC

9 j% y& l! d1 S9 m2 v2 `  l+ p操作
firewalld
我们知道OpenStack通过VNC Proxy将管理网和业务网隔离开来，以便我们可以使用管理网络的6080端口访问虚拟机VNC，同时提供Token用于验证访问的合法性。一个VNC Proxy在OpenStack里的处理流程如下：
VNC Porxy处理流程
) L9 v6 k1 _6 Z  v1. 一个用户试图从浏览器里面打开连接到虚拟机的VNC Client
2. 浏览器向nova-api发送请求，要求返回访问vnc的url
3. nova-api调用nova-compute的get vnc console方法，要求返回连接VNC的信息
4.nova-compute调用libvirt的get vnc console函数
5.libvirt会通过解析虚拟机运行的/etc/libvirt/qemu/instance-0000000c.xml文件来获得VNC Server的信息
6.libvirt将host, port等信息以json格式返回给nova-compute
7.nova-compute会随机生成一个UUID作为Token
8.nova-compute将libvirt返回的信息以及配置文件中的信息综合成connect_info返回给nova-api
/ x2 u: O: y- }5 e  w* e& w9.nova-api会调用nova-consoleauth的authorize_console函数
10.nova-consoleauth会将instance –> token, token –> connect_info的信息cache起来
0 D: b/ f7 _7 N6 _2 A4 Y( O11.nova-api将connect_info中的access url信息返回给浏览器：http://contorller:6080/vnc_auto.html?token=7efaee3f-eada-4731-a87c-e173cbd25e98&title=helloworld%289169fdb2-5b74-46b1-9803-60d2926bd97c%29
: a  o0 M7 Z- i3 E9 Z% j# {12.浏览器会试图打开这个链接
& S8 y1 _. y" T13.这个链接会将请求发送给nova-novncproxy
14.nova-novncproxy调用nova-consoleauth的check_token函数
15.nova-consoleauth验证了这个token，将这个instance对应的connect_info返回给nova-novncproxy
) C$ b) O& _, h; h6 v16.nova-novncproxy通过connect_info中的host, port等信息，连接compute节点上的VNC Server，从而开始了proxy的工作
这里重要的就是第16步, nova-novncproxy是通过连接host:vncport的方式提供vnc访问服务。
那么也就是说，计算节点的VNC端口只需要让nova-novncporxy服务能够访问就行，有了这个就好办了。
操作firewalld
在所有计算节点firewalld的INPUT表中添加如下规则：

检查防火墙是否启动：
6 W: m& f4 f' c" v9 ^4 Ksystemctl status firewalld.service
, K) T' |: N9 m4 y2 `2 Q/ F' i. L启动防火墙：
systemctl start  firewalld.service
# S$ f3 S1 B$ s$ L% n( Z
! {  }& O2 B7 @: o" E6 }) S
开机启动防火墙：
0 D* S' X: O6 e/ g; `systemctl enable firewalld.service
! W4 f6 L, A/ B, _. B: a添加规则：
2 `1 y/ F0 Q# `& l. ^  firewall-cmd --permanent --add-rich-rule="rule family="ipv4" source address="10.161.53.6" port protocol="tcp" port="5900-6000" accept"
( s! V5 p& e: A: W: V( f4 x' W   firewall-cmd --permanent --add-rich-rule="rule family="ipv4" source address="10.161.53.100" port protocol="tcp" port="5900-6000" accept"
firewall-cmd --reload
# [8 C  P4 j. a, H firewall-cmd --list-all
删除规则：
; I  l4 J9 @% w5 b* R  firewall-cmd --permanent --remove-rich-rule="rule family="ipv4" source address="10.161.53.6" port protocol="tcp" port="5900-6000" accept"

( P' P4 B1 x' T1 ~+ i firewall-cmd --reload
firewall-cmd --list-all
2 C2 x* d$ ]: `8 H. _/ ?7 O' _
1 b8 F- ~! a6 Q: X. z" N- c6 \
添加防火墙规则：
firewall-cmd --permanent --add-rich-rule="rule family="ipv4" source address="10.161.53.31/27" port protocol="tcp" port="5900-6000" accept"

* V8 K; m. F# ?2 X' P  c9 ~  Sfirewall-cmd --reload

通过测试上面开启的firewalld会导致业务无法访问。
这里改变方式使用iptables的规则吧：
- f  [0 K9 ]7 q+ H1 u$ [2 r+ e# \) a
iptables -A INPUT -s 10.161.53.31/27 -p tcp -m multiport --dports 5900:5999 -m comment --comment "ACCEPT VNC Port only by Controller Node" -j ACCEPT
1 Z6 K, z) P' ^* j5 l4 ~ iptables -L
iptables -A INPUT -p tcp -m multiport --dports 5900:5999 -j REJECT --reject-with icmp-port-unreachable
5 d% z$ M7 v5 T" m: ^
" Q2 O6 j6 F/ B7 J, a

admin

4.解决方案
3 H8 H5 V: m  S; H, v( z, J
①从交换和防火墙的ACL控制IP访问
" p% A, @+ D0 ~0 x2 m②修改各计算节点 nova.conf中 vncserver_listen 配置为内网 IP ，保证新建虚机没问题
③现有以及之后新建的的虚拟机，修改 libvirt.xml 中的 vnc 的监听端口，保证虚机重启后不会向公网开放端口
& x1 n7 @9 q8 j, j! p$ u$ v④修改IPtables配置规则，屏蔽端口访问，把除内网以外网段的5900~5999端口给封禁
% Q2 B* t3 i% N6 x0 y( D4 Y4 [⑤vnc增加访问密码
$ _* S8 q  g: b2 t& `+ L
" t9 j. k# P& E* N$ i下面针对方法④和方法⑤进行详细的说明。
④配置IPtables
根据OpenStack VNC Proxy 流程分析中的，第16步, nova-novncproxy是通过连接host:vncport的方式提供vnc访问服务。即，计算节点的VNC端口只需要允许让nova-novncporxy服务能够访问就行。
在所有计算节点IPTABLES的INPUT表中添加如下规则：
9 t9 Y/ o1 b5 n' Q& p# U

admin

①从交换和防火墙的ACL控制IP访问
②修改各计算节点 nova.conf中 vncserver_listen 配置为内网 IP ，保证新建虚机没问题
③现有以及之后新建的的虚拟机，修改 libvirt.xml 中的 vnc 的监听端口，保证虚机重启后不会向公网开放端口
  a, S- E( F" r$ b④修改IPtables配置规则，屏蔽端口访问，把除内网以外网段的5900~5999端口给封禁
2 R& Z# l" g- o⑤vnc增加访问密码
9 B: ?3 B2 o; f) n2 N$ y1 S6 n下面针对方法④和方法⑤进行详细的说明。
! G2 {8 D% G* L- P④配置IPtables
7 R7 L" n$ P+ _* X5 m3 E) ~8 T根据OpenStack VNC Proxy 流程分析中的，第16步, nova-novncproxy是通过连接host:vncport的方式提供vnc访问服务。即，计算节点的VNC端口只需要允许让nova-novncporxy服务能够访问就行。
- H) f1 ?* j9 s5 o) {1 J( ?& i
在所有计算节点IPTABLES的INPUT表中添加如下规则：

  t# J6 t, f( d% Y# j; z5 P$ iptables -A INPUT -s {{ CONTROLLER_NODE_IP }}/32 -p tcp -m multiport --dports 5900:5999 -m comment --comment "ACCEPT VNC Port only by Controller Node" -j ACCEPT
% G: P5 L9 w( d: l4 J. C; J, X/ c
$ iptables -A INPUT -p tcp -m multiport --dports 5900:5999 -j REJECT --reject-with icmp-port-unreachable

/ I* g3 o' e0 F7 A, z; v, G' N意思就是只允许控制节点访问本机的5900-5999端口，其他的一律拒绝。
1 E5 U' `5 |3 ~* M# q/ e5 H) v: q3 E当再次使用nmap进行扫描时，便不能看到VNC的端口。

# t1 z) Y. L- e' M$ nmap 10.161.53.1 5900
⑤VNC添加访问密码
( k" r1 x2 H5 K+ D* X对应的配置文件为：virt/libvirt/config.py
6 t- d' X7 `% f
libvirtd在<graphics>域里面是支持配置VNC的访问密码

...
( t# ^3 d) }$ v4 f <graphics type='vnc' port='-1' autoport='yes' listen='192.168.23.59' passwd='YOUR-PASSWORD-HERE' keymap='en-us'/>
...
，那么Nova在创建虚拟机配置的方法中也可以找到对应graphics的代码，我这里修改得很简单，直接在返回的dev列表里面添加个passwd的value，而value就是VNC的访问密码。

7 g: O0 r1 z" f  O6 F. ?7 {- Tclass LibvirtConfigGuestGraphics(LibvirtConfigGuestDevice):
7 Q1 r8 P" K1 D. _8 J' l# d7 u
    def __init__(self, **kwargs):
         super(LibvirtConfigGuestGraphics, self).__init__(root_name="graphics",
                                                          **kwargs)

         self.type = "vnc"
         self.autoport = True
3 c0 A; h! |, `; O' G+ A+ ^) |# M         self.keymap = None
9 G/ P" W) h1 M, u2 P9 u         self.listen = None

     def format_dom(self):
; d5 d1 `6 q% ~& H* U. r         dev = super(LibvirtConfigGuestGraphics, self).format_dom()

: D: m5 a$ I" _& |* N         dev.set("type", self.type)
         if self.autoport:
! s* j8 z  T( m             dev.set("autoport", "yes")
         else:
             dev.set("autoport", "no")
: G# s! O5 f1 v9 w         if self.keymap:
             dev.set("keymap", self.keymap)
; k: x# }5 [9 r. S6 W- l         if self.listen:
             dev.set("listen", self.listen)
#       dev.set("passwd", "123456")
         return dev
其中dev.set("passwd", "123456")是新加入的一行，如果不需要vnc访问输入密码，直接注释掉即可。
下面是一次解决过程，因开发环境使用的是容器化部署，文件路径比较长。
解决过程
' K2 u' v8 @4 c8 G, Z' k8 X, ?查找文件

root@controller1:~# find /var/lib/docker/aufs/diff  -name config.py | grep nova
# Q" a) j6 o& y* ^# G1 h/var/lib/docker/aufs/diff/pr0XDEZwLDflwwzUPc0mNVYwf6b3wJ4wxEwxNBRlmKMD7qRurdlBck41J8hAkjd3/usr/lib/python2.7/dist-packages/nova/config.py
# a1 D9 ~; X* Y' U" m: g( u' v0 K/var/lib/docker/aufs/diff/pr0XDEZwLDflwwzUPc0mNVYwf6b3wJ4wxEwxNBRlmKMD7qRurdlBck41J8hAkjd3/usr/lib/python2.7/dist-packages/nova/virt/libvirt/config.py
/var/lib/docker/aufs/diff/pr0XDEZwLDflwwzUPc0mNVYwf6b3wJ4wxEwxNBRlmKMD7qRurdlBck41J8hAkjd3/usr/lib/python2.7/dist-packages/nova/common/config.py
% X( f% H# N8 h! z6 P进入配置文件所在路径
5 ^  Q) q4 y6 N# t5 H
root@controller01:~# cd /var/lib/docker/aufs/diff/pr0XDEZwLDflwwzUPc0mNVYwf6b3wJ4wxEwxNBRlmKMD7qRurdlBck41J8hAkjd3/usr/lib/python2.7/dist-packages/nova/virt/libvirt/
root@controller01:/var/lib/docker/aufs/diff/pr0XDEZwLDflwwzUPc0mNVYwf6b3wJ4wxEwxNBRlmKMD7qRurdlBck41J8hAkjd3/usr/lib/python2.7/dist-packages/nova/virt/libvirt# ls
6 ^) y/ _# H, m7 ?0 R0 Pblockinfo.py   compat.py   config.py          config.pyc   designer.pyc  driver.pyc   firewall.pyc  guest.pyc  host.pyc         imagebackend.pyc  imagecache.pyc  __init__.pyc           instancejobtracker.pyc  migration.pyc  utils.py   vif.py   volume
blockinfo.pyc  compat.pyc  config.py.bak.ori  designer.py  driver.py     firewall.py  guest.py      host.py    imagebackend.py  imagecache.py     __init__.py     instancejobtracker.py  migration.py            storage        utils.pyc  vif.pyc
修改配置文件
7 l5 S$ ~! A) x+ D6 d/ \1 S6 o
7 H) {) V4 C, Froot@controller1:/var/lib/docker/aufs/diff/pr0XDEZwLDflwwzUPc0mNVYwf6b3wJ4wxEwxNBRlmKMD7qRurdlBck41J8hAkjd3/usr/lib/python2.7/dist-packages/nova/virt/libvirt# vim config.py
* J3 U6 K  V" U$ _' B在这里插入图片描述
$ ^" Y; X9 Q% N/ U; l/ j6 V8 q& r修改后，重启nova-compute服务，即在下次创建虚拟机的时候生效，其结果如下：
在这里插入图片描述
输入密码virt/libvirt/config.py配置中新增的密码123456即可正进入虚拟机。

admin

4.解决方案
①从交换和防火墙的ACL控制IP访问
% b9 v0 ^7 V8 M②修改各计算节点 nova.conf中 vncserver_listen 配置为内网 IP ，保证新建虚机没问题
③现有以及之后新建的的虚拟机，修改 libvirt.xml 中的 vnc 的监听端口，保证虚机重启后不会向公网开放端口
④修改IPtables配置规则，屏蔽端口访问，把除内网以外网段的5900~5999端口给封禁
0 M# L( X5 x, s( T⑤vnc增加访问密码
下面针对方法④和方法⑤进行详细的说明。
( U  }( a. q5 R  c④配置IPtables
( E6 `$ }( Q& l根据OpenStack VNC Proxy 流程分析中的，第16步, nova-novncproxy是通过连接host:vncport的方式提供vnc访问服务。即，计算节点的VNC端口只需要允许让nova-novncporxy服务能够访问就行。
0 |" k1 k3 M$ Z; Y1 J6 B
在所有计算节点IPTABLES的INPUT表中添加如下规则：

0 O1 R  \% G# T, F$ e5 ]  ]+ p2 v$ iptables -A INPUT -s {{ CONTROLLER_NODE_IP }}/32 -p tcp -m multiport --dports 5900:5999 -m comment --comment "ACCEPT VNC Port only by Controller Node" -j ACCEPT
- k1 @/ ~: x6 }6 N! a
$ iptables -A INPUT -p tcp -m multiport --dports 5900:5999 -j REJECT --reject-with icmp-port-unreachable
意思就是只允许控制节点访问本机的5900-5999端口，其他的一律拒绝。
当再次使用nmap进行扫描时，便不能看到VNC的端口。
6 e; T7 ?% ?3 \" \
$ nmap 192.168.23.12
⑤VNC添加访问密码
; z3 M0 C8 Z& J% x对应的配置文件为：virt/libvirt/config.py

libvirtd在<graphics>域里面是支持配置VNC的访问密码
2 x8 f* N! B) c* g$ ?0 a) C
2 B' }3 H. p0 A) }...
6 z2 x# g/ C) P9 C1 i7 b, N) \" { <graphics type='vnc' port='-1' autoport='yes' listen='192.168.23.59' passwd='YOUR-PASSWORD-HERE' keymap='en-us'/>
...
' c5 b9 N- _9 C，那么Nova在创建虚拟机配置的方法中也可以找到对应graphics的代码，我这里修改得很简单，直接在返回的dev列表里面添加个passwd的value，而value就是VNC的访问密码。

0 f) V2 v) T  x9 \9 N1482 class LibvirtConfigGuestGraphics(LibvirtConfigGuestDevice):
# e: Q) G3 z7 L( G6 d1483
0 e6 [5 Z) Q5 d# H& t" a  c2 m1484     def __init__(self, **kwargs):
1485         super(LibvirtConfigGuestGraphics, self).__init__(root_name="graphics",
# |* U0 r" r8 i9 a8 W, s6 e* c: P1486                                                          **kwargs)
1487
1488         self.type = "vnc"
1489         self.autoport = True
6 T8 i! \" w8 d6 U+ K$ @' T1490         self.keymap = None
1491         self.listen = None
1492
1493     def format_dom(self):
$ ?4 F# v: w# ^) q1494         dev = super(LibvirtConfigGuestGraphics, self).format_dom()
1495
6 m& B2 {% f7 ^8 w6 _1496         dev.set("type", self.type)
5 O* @# s8 p9 s7 {1497         if self.autoport:
1498             dev.set("autoport", "yes")
1499         else:
# i2 I. g9 I, L, v1500             dev.set("autoport", "no")
1501         if self.keymap:
1502             dev.set("keymap", self.keymap)
1503         if self.listen:
1504             dev.set("listen", self.listen)
1505 #       dev.set("passwd", "123456")
$ F' J# Q5 \4 Z. Y& x) {1 T1506         return dev
/ q/ C* a, i) L9 P5 S1 R# W其中dev.set("passwd", "123456")是新加入的一行，如果不需要vnc访问输入密码，直接注释掉即可。
下面是一次解决过程，因开发环境使用的是容器化部署，文件路径比较长。
3 l) Z  b2 c8 ]5 p; r3 s# [解决过程
查找文件
+ w' Y( e. V6 ?% w$ D: w
root@controller1:~# find /var/lib/docker/aufs/diff  -name config.py | grep nova
/var/lib/docker/aufs/diff/pr0XDEZwLDflwwzUPc0mNVYwf6b3wJ4wxEwxNBRlmKMD7qRurdlBck41J8hAkjd3/usr/lib/python2.7/dist-packages/nova/config.py
/var/lib/docker/aufs/diff/pr0XDEZwLDflwwzUPc0mNVYwf6b3wJ4wxEwxNBRlmKMD7qRurdlBck41J8hAkjd3/usr/lib/python2.7/dist-packages/nova/virt/libvirt/config.py
8 E1 ?/ s+ O2 g1 M! M5 l/var/lib/docker/aufs/diff/pr0XDEZwLDflwwzUPc0mNVYwf6b3wJ4wxEwxNBRlmKMD7qRurdlBck41J8hAkjd3/usr/lib/python2.7/dist-packages/nova/common/config.py
+ p0 h  J. X9 y0 R; f进入配置文件所在路径
/ b, D& f9 @. H8 ^8 ]2 m9 S) U  \9 U
4 a  ?  s8 {) `: H3 t) lroot@controller01:~# cd /var/lib/docker/aufs/diff/pr0XDEZwLDflwwzUPc0mNVYwf6b3wJ4wxEwxNBRlmKMD7qRurdlBck41J8hAkjd3/usr/lib/python2.7/dist-packages/nova/virt/libvirt/
root@controller01:/var/lib/docker/aufs/diff/pr0XDEZwLDflwwzUPc0mNVYwf6b3wJ4wxEwxNBRlmKMD7qRurdlBck41J8hAkjd3/usr/lib/python2.7/dist-packages/nova/virt/libvirt# ls
: ^3 @0 f5 G# H+ P/ iblockinfo.py   compat.py   config.py          config.pyc   designer.pyc  driver.pyc   firewall.pyc  guest.pyc  host.pyc         imagebackend.pyc  imagecache.pyc  __init__.pyc           instancejobtracker.pyc  migration.pyc  utils.py   vif.py   volume
blockinfo.pyc  compat.pyc  config.py.bak.ori  designer.py  driver.py     firewall.py  guest.py      host.py    imagebackend.py  imagecache.py     __init__.py     instancejobtracker.py  migration.py            storage        utils.pyc  vif.pyc
修改配置文件
5 \2 U& `6 A! S" f  j6 Q; {
root@controller1:/var/lib/docker/aufs/diff/pr0XDEZwLDflwwzUPc0mNVYwf6b3wJ4wxEwxNBRlmKMD7qRurdlBck41J8hAkjd3/usr/lib/python2.7/dist-packages/nova/virt/libvirt# vim config.py