Sicher surfen: Mit Linux per VM oder Remote-Browser

Hauptzielgruppe dieses Artikels sind Windows-Benutzer mit Linux-Affinität, die sich eine virtuelle Linux-Maschine einrichten möchten oder den einen oder anderen Linux-Rechner im Netzwerk laufen haben – etwa einen Platinenrechner für Serveraufgaben. Daneben kann es aber auch für reine Linux-Anwender Gründe geben, riskante Webaktivitäten sicherheitshalber in einer VM oder auf einem entfernten Rechner auszuführen – auf einem Rechner, der entweder erhöhte Sicherheit bietet oder ein System, das wenig Rücksicht erfordert. Nicht zuletzt gibt es Linux-Anwender, die gelegentlich einen ganz bestimmten Browser nutzen möchten, ohne ihn aber deshalb überall installieren zu wollen.

Remotebedienung und virtuelle Maschinen – das sind natürlich altbewährte und bekannte Methoden. Die Tücken liegen aber oft im Detail – und hierauf liegt der Fokus dieses Beitrags.

Siehe auch:  B rowser für Linux – Welcher ist der beste?

Remotebrowser (I): Grundlagen

Eine schnelle und elegante Methode, bei Bedarf oder dauerhaft auf einen lokalen Browser zu verzichten, ist der Zugriff auf einen entfernten Browser im Netzwerk. Ideal eignen sich dafür unterbeschäftigte und relativ leistungsstarke Platinenrechner, die einen flüssigen Browserbetrieb nebenher schultern. Quadcore-ARM-CPUs mit annähernd zwei GHz, ferner zwei, besser vier GB RAM sind in etwa die Messlatte, darunter macht solcher Einsatz kaum Spaß. Konkrete Geräte, die diese Messlatte nehmen, sind etwa der Raspberry 4 , Odroid XU4 oder N2 oder auch die Tinker Boards. Selbstverständlich kommt aber auch jede PC- oder Notebookhardware in Frage, sofern diese dauerhaft läuft, aber nicht dauerhaft lokal genutzt wird.

Auf dem „Server“, der den Browser und natürlich auch den sonstigen Desktop anbietet, muss ein VNC-Server installiert sein und laufen. Auf der anderen Seite, beim zugreifenden System, ist eine VNC-Clientsoftware erforderlich. VNC – Virtual Network Computing – erlaubt im lokalen Netzwerk eine qualitativ überzeugende Optik und gute Leistung. Alle Programme laufen auf dem Server, nur der Bildschirminhalt wird auf dem Clientrechner angezeigt. Ob der Client durch Tastatur und Maus das Serversystem bedienen darf, ist am VNC-Server einstellbar. Für das Szenario dieses Beitrags ist solcher Vollzugriff natürlich die Voraussetzung.

Hinweis 1: Der nachfolgend beschriebene VNC-Fernzugriff auf ein Linux-System im Netz erlaubt genau eine Verbindung. Es können zwar nacheinander beliebige Rechner den VNC-Server nutzen, jedoch nicht gleichzeitig. Es ist daher keine Lösung für mehrere Familienmitglieder oder für mehrere Mitarbeiter. Für kollisionsfreien Zugriff mehrerer Nutzer bräuchte im Prinzip jeder seinen eigenen VNC-Server.

Hinweis 2: VNC ist unverschlüsselt. Es gibt die Möglichkeit, VNC-Verbindungen über eine zusätzliche SSH-Verbindung zu verschlüsseln. Diese Option wäre zwingend, sobald die VNC-Verbindung das heimische Netzwerk verlässt und über das Internet hergestellt wird. Da wir hier ausschließlich von Verbindungen im lokalen Netzwerk ausgehen, sehen wir darin kein Risiko und gehen auf Verschlüsselungstunnel nicht näher ein. Generell ist die nachfolgend beschriebene VNC-Lösung nur für den privaten Einsatz gedacht, da auch weitere Lockerungen wie Auto-Log-in und eine simple Kennwortstrategie genutzt werden.

Remotebrowser (II): VNC-Server einrichten

VNC-Server für Linux gibt es eine ganze Reihe: Vino-Server, X11vnc, Tight VNC, Kfrb (KDE), Real VNC, um lediglich die bekanntesten zu nennen. Wer die Einrichtung unkompliziert halten will, installiert am besten X11vnc:

Verzichten Sie nach der Installation auf manuelle Tests oder Konfigurationseinstellungen der Software, um vielmehr sofort den automatischen Start des VNC-Servers einzurichten.

Auto-Log-in einrichten: Der einfachste Weg ist ein Autostart des Servers nach erfolgter Desktopanmeldung. Um dies zuverlässig – etwa auch bei einem späteren Headlessbetrieb eines Platinenrechners – zu gewährleisten, muss man für den Desktop zunächst eine automatische Anmeldung einrichten (Auto-Log-in). Auf der komfortablen Seite sind Sie, wenn der Desktop dies an der Oberfläche anbietet, wie etwa Linux Mint („Systemeinstellungen –› Anmeldefenster“), Ubuntu Gnome („Systemeinstellungen –› Benutzer“) oder KDE („Systemeinstellungen –› Benutzerkontodetails“). Für welches Konto Sie das Auto-Log-in einstellen, spielt für das weitere Szenario keine Rolle.

Falls der Desktop kein Auto-Log-in anbietet, ist solches in jedem Fall über die Konfigurationsdatei des Anmeldefensters (Displaymanager) zu erzielen. Da dies für Lightdm oder Gdm (der genutzte Displaymanager ist unter „/etc/X11/default-display-manager“ zu ermitteln) jeweils unterschiedlich ausfällt, würde eine Anleitung für alle Varianten an dieser Stelle zu weit führen. Wir nennen mit XFCE und dem dort üblichen Lightdm nur ein stellvertetendes Beispiel: Hier ändern Sie die Konfigurationsdatei des Displaymanagers „/etc/lightdm/lightdm.conf“ wie folgt:

X11vnc-Server als Autostart: Ist das Auto-Log-in eingerichtet, brauchen Sie noch den automatischen Start der VNC-Software. Solche Autostarts unterstützt praktisch jeder Linux-Desktop, der Ort ist aber unterschiedlich: In Ubuntu (Gnome) nennt sich das Konfigurationstool „Startprogramme“, in anderen Oberflächen findet sich das Applet als „Sitzung und Startverhalten –› Automatisch gestartete Programme“ in den Systemeinstellungen (XFCE) oder als „Startprogramme“ in der Steuerzentrale (Mate). KDE zeigt die Option in den „Systemeinstellungen –› Starten und Beenden –› Autostart“. Falls ein Desktop keine derartige Option anbietet, ist es immer möglich, eine Datei mit der Endung „.desktop“ unter „~/.config/autostart“ in jenem Konto anzulegen, für das die automatische Anmeldung definiert wurde, oder an globaler Stelle unter „/etc/xdg/autostart“. Die Startdatei für X11vnc heißt dann etwa „~/.config/autostart/x11vnc.desktop“ und benötigt mindestens folgenden Inhalt:

Bei der grafischen Komfortlösung brauchen Sie nur das Kommando, das oben nach „Exec=…“ angegeben ist. Der Server x11vnc unterstützt eine Armada von weiteren Schaltern; mit den hier angegebenen erzielen Sie aber eine permanent laufende und zuverlässige VNC-Lösung. Falls Sie auf ein Zugangspasswort ganz verzichten möchten, ersetzen Sie „-passwd“ (und unser Beispielkennwort) durch „-nopw“. Dies ist wichtig, weil X11vnc bei passwortloser Verbindung standardmäßig einen opulenten Warndialog anzeigt. Zugreifen kann bei dieser Konfiguration jeder Rechner und jedes beliebige Konto – entweder passwortlos („-nopw“) oder nach Eingabe des richtigen Kennworts („-passwd“).

Ausnahme Raspberry-Pi-OS: Für die Einrichtung eines VNC-Servers auf dem Raspberry können Sie sich die oben beschriebenen Schritte sparen: Hier ist Real VNC vorinstalliert und mit dem Standardtool raspiconfig mit wenigen Klicks am Start (mit sudo-Recht). Die Option befindet sich unter „3 Interface Options“ und hier „P3 VNC“.

Mehr als ein „OK“ ist hier nicht nötig. Der Server präsentiert künftig in der Systemleiste sein „V“-Icon, über das er sich detailliert kontrollieren und konfigurieren lässt (deutschsprachig). Um das einfache Passwortverhalten zu erzielen wie oben für den X11vnc beschrieben, verwenden Sie unter „Sicherheit“ die Option „VNC-Kennwort“

Remotebrowser (III): Der Zugriff

Für den Remotezugriff benötigen Sie einen kleinen VNC-Client. Auch davon gibt es eine ganze Menge – von minimalistisch bis relativ komplex.

Zugriff mit Windows: Mit Tight VNC  empfehlen wir für Windows einen winzigen und unkomplizierten Kandidaten, der aber alles kann, was Sie für einen heimischen Remotezugriff brauchen. Sie geben bei „Remote Host“ einfach die IP-Adresse des VNC-Servers an, klicken auf „Connect“ und geben im Fenster „Vnc Authentication“ das Kennwort ein (falls erforderlich). Unter „Options“ gibt es noch ein paar Feineinstellungen für Optik und Leistung, die aber standardmäßig sinnvoll justiert sind. Tight VNC speichert nur die IP-Adressen in einer Drop-down-Liste. Wer es sich bequemer machen will, kann sich Verknüpfungen dieser Art anlegen: 

Zugriff mit Linux: Auch hier gibt es sehr einfache Clientprogramme wie den Vncviewer.

Trotz Fokus auf eine möglichst einfache Lösung halten wir uns hier an das funktionsreichere Remmina („Betrachter entfernter Schreibtische“). Denn Remmina ist meistens schon vorinstalliert, ermöglicht auch Zugriff auf Windows (RDP-Protokoll) und weitere Remoteprotokolle und ist dennoch einfach zu bedienen. Falls die Software fehlt, hilft diese Nachinstallation: 

Um sich ad hoc zu einem VNC-Server zu verbinden, klicken Sie oben auf das Protokoll „VNC“, geben daneben die Ziel-IP ein und drücken die Eingabetaste. Remmina kann aber Remoteserver nach Klick auf das Symbol „Neues Verbindungsprofil“ auch als Profil speichern, was dann jeweils individuelle Qualitätseinstellungen erlaubt („Farbtiefe“, „Qualität“) und auch das Kennwort automatisch übergeben kann. Ein VNC-Profil für einen einfachen kennwortgeschützten Server benötigt nur drei Angaben zwingend: das VNC-Protokoll („Remmina VNC-Plugin“), die Server-IP und das „Benutzerpasswort“ (sofern vorhanden).

Remotebrowser (IV): Feintuning

Für den komfortablen Einsatz eines Remotebrowsers sind zwei Transfereigenschaften zum lokalen System nützlich bis unentbehrlich: die Zwischenablage und der Transport von Downloads. Die Zwischenablage funktioniert bei VNC erfreulicherweise standardmäßig. Falls Sie unter Windows bei Mausaktionen die Optionen „Einfügen“ vermissen, ist das nur ein Schönheitsfehler: Strg-V funktioniert beim Einfügen zwischen lokalem und entferntem System.

Um die Downloads des Remotebrowsers umstandslos auf den lokalen Rechner zu bringen, nutzen Sie am besten am Remotedesktop eine Samba-Freigabe. Diese kann direkt zum lokalen Rechner führen oder zu einem dritten, allgemein erreichbaren Server.

Achtung Download! Binäre Downloads mit Schadsoftware werden natürlich nicht entschärft, wenn sie über einen Linux-Rechner bezogen werden. Für ausführbare Downloads (EXE-, MSI-Dateien für Windows) gilt im Remotebrowser dieselbe Vorsicht und Skepsis wie im lokalen Browser.

Sichere Browser in Linux: Darauf sollten Sie achten

Browser in der VM (I): Grundlagen

Ein virtuelles Linux-Surfsystem kann unter Linux wie Windows eingerichtet werden, ist aber eher einschlägig für sicherheitsbewusste Windows-Nutzer. Eine virtuelle Maschine (VM) hat gegenüber dem Remotesystem Vor- und Nachteile: 

• Die VM braucht keine externe Hardware, zieht aber Ressourcen vom lokalen Rechner. Eine hohe Hürde ist virtuelles Linux für heutige Notebooks oder PCs aber nicht: acht GB RAM genügen, selbst vier GB sind für Windows plus ein sparsames Linux noch ausreichend. Als Prozessor sollte mindestens eine Dualcore-CPU mit zwei GHz vorliegen, die Virtualisierung nativ unterstützt – mit den Techniken Intel VT-X (Virtualization Technology) oder AMD-V (AMD Virtualization). Ob dies zutrifft, kann zum Beispiel das Hardware Detection Tool ermitteln – als CPU-Flag „vmx“ beziehungsweise „svm“. Nicht zuletzt sollten Sie für ein virtuelles Linux einen Plattenplatz von mindestens 20 GB einrechnen.
• Die VM steht dem Nutzer uneingeschränkt zur Verfügung, während auf ein Remotesystem immer nur einer zugreifen kann.
• Der Start der VM fordert auch auf schnellen Rechnern etwas Zeit. Es empfiehlt sich daher, das virtuelle System nach dem Start dauerhaft laufen zu lassen.

Browser in der VM (II): Einrichtung

Für eine Surf-VM, die nur einen Browser bereitstellen soll, scheinen sich möglichst kleine Linux-Livesysteme wie Slax oder Porteus anzubieten. Das ist aber doppelt falsch: Wenn Sie den Browser individuell anpassen und dauerhaft aktualisieren wollen, sind Livesysteme ungeeignet. Auch wenn diese Systeme eigene Persistenzoptionen anbieten, ist der Einsatz umständlicher als das einfache Aktualisieren in einem ordentlich installierten System. Außerdem müssen Sie bei kleinen Spezialisten immer mit größerem Aufwand rechnen, um fundamentale Einstellungen wie die Bildschirmauflösung dauerhaft zu definieren.

Die geringsten Nacharbeiten und Detailprobleme sind mit einer kleineren Ubuntu-Edition (Xubuntu, Ubuntu Mate, Kubuntu) zu erwarten, das Sie nach dem Download der ISO-Datei als VM installieren.

Kostenlose Virtualisierungssoftware bieten Vmware  und Oracle . Die nachfolgende Beschreibung bezieht sich auf Vmware Workstation Player ( Virtualbox geht genauso). Nach dem Start der Software klicken Sie auf „Create a New Virtual Machine“. Wählen Sie zunächst am besten die Option „I will install the operating system later“. Nach Klick auf „Next“ wählen Sie „Linux“ und dann einen sprechenden und zum ISO-Download passenden Namen wie etwa „Xubuntu_20.04“. Nach „Next“ legen Sie die Größe der virtuellen Festplatte fest. Es empfiehlt sich tendenziell ein größerer als der vorgeschlagene Wert, damit für Updates Platz bleibt.

Nach „Next“, „Finish“ und „Close“ erscheint das System in der Liste unter „Home“. Nach Rechtsklick und „Settings“ müssen Sie nun noch das Installations-ISO angeben. Dazu gehen Sie auf „CD/DVD“ und auf „Use ISO image:“, und danach navigieren Sie zur ISO-Datei über „Browse“.

Starten Sie die virtuelle Maschine mit Klick auf „Play virtual machine“, und installieren Sie Linux wie gewohnt. Im Hinblick auf den Einsatzzweck können Sie auf unnötige Software verzichten, was Ubuntu-Editionen mit der Option „Minimale Installation“ explizit unterstützen.

Browser in der VM (III): Feintuning

Damit das Host- und Linux-Gastsystem eine gemeinsame Zwischenablage verwenden können, sind beim Vmware-Virtualisierer die zusätzlichen Vmware-Tools erforderlich. Einige Linux-Systeme bieten diese Erweiterung über die eigene Paketverwaltung an, so zum Beispiel alle Ubuntu-Varianten: 

Dies ist ein weiteres Motiv für die Wahl eines Ubuntu-Systems, weil die manuelle Einrichtung der Vmware-Tools über das virtuelle DVD-Laufwerk eher anstrengend ausfällt.

Für den direkten Datenaustausch von Gast zu Host, um Downloads im Host umstandslos auf das eigentliche System zu bringen, nutzen Sie am einfachsten eine Samba-Freigabe, die Sie prominent am Desktop des Gastsystems verlinken. Nur als Vorschlag: Wenn diese Freigabe zum Desktopordner des Hostsystems führt, dann landen dorthin kopierte Dateien sofort sichtbar am Hostdesktop.

Noch ein kleiner Tipp: Eine Startverknüpfung mit einem Befehl wie 

erspart nicht viel Zeit, aber immerhin doch die Wartezeit auf den Start des Virtualisierers und die zwei Klicks zum Markieren und Starten der VM.