Debian 12 部署 xfce4 + xrdp 远程桌面完整指南

一、背景

在 Debian 12 云服务器上部署 xfce4 桌面环境，并通过 xrdp 实现远程桌面连接，使用 Windows 自带的「远程桌面连接」(mstsc) 即可访问。

二、一键部署脚本

以 root 用户执行以下脚本：

#!/bin/bash
############################################################
#  Debian 12 一键部署 xfce4 + xrdp 远程桌面
#  用法: 以 root 执行  bash deploy_xrdp.sh
############################################################
set -e

# ---- 0. 前置检查 ----
if [ "$EUID" -ne 0 ]; then
  echo "请使用 root 用户执行此脚本"; exit 1
fi

if ! grep -qi "debian" /etc/os-release 2>/dev/null; then
  echo "警告: 此脚本针对 Debian 12 编写,当前系统非 Debian"
  read -rp "是否继续? (y/N) " c; [ "$c" = "y" ] || exit 1
fi

export DEBIAN_FRONTEND=noninteractive

# ---- 1. 更新系统 ----
echo ">>> [1/6] 更新软件包..."
apt-get update -y
apt-get upgrade -y

# ---- 2. 安装 xfce4 桌面 ----
echo ">>> [2/6] 安装 xfce4 桌面环境..."
apt-get install -y xfce4 xfce4-goodies dbus-x11

# ---- 3. 安装 xrdp ----
echo ">>> [3/6] 安装 xrdp..."
apt-get install -y xrdp

# ---- 4. 配置会话与权限 ----
echo ">>> [4/6] 配置 xrdp..."

# 4.1 xrdp 进程加入 ssl-cert 组
adduser xrdp ssl-cert || true

# 4.2 指定会话为 xfce4
echo "startxfce4" > /etc/skel/.xsession
echo "startxfce4" > /root/.xsession
chmod +x /root/.xsession

# 4.3 抑制 color-manager 的 polkit 弹窗
mkdir -p /etc/polkit-1/localauthority/50-local.d/
cat > /etc/polkit-1/localauthority/50-local.d/45-allow-colord.pkla <<'EOF'
[Allow Colord all Users]
Identity=unix-user:*
Action=org.freedesktop.color-manager.create-device;org.freedesktop.color-manager.create-profile;org.freedesktop.color-manager.delete-device;org.freedesktop.color-manager.delete-profile;org.freedesktop.color-manager.modify-device;org.freedesktop.color-manager.modify-profile
ResultAny=no
ResultInactive=no
ResultActive=yes
EOF

# 4.4 优化 xrdp 连接参数
sed -i 's/^max_bpp=.*/max_bpp=24/' /etc/xrdp/xrdp.ini || true
sed -i 's/^#$Xorg$/[Xorg]/' /etc/xrdp/xrdp.ini 2>/dev/null || true

# ---- 5. 启动服务 ----
echo ">>> [5/6] 启动 xrdp 并设置开机自启..."
systemctl enable xrdp
systemctl restart xrdp

# ---- 6. 防火墙 ----
echo ">>> [6/6] 处理防火墙端口 3389..."
if command -v ufw >/dev/null 2>&1 && ufw status | grep -q "active"; then
  ufw allow 3389/tcp
else
  echo "    (未检测到激活的 ufw, 跳过)"
fi

# ---- 输出结果 ----
echo ""
echo "============================================"
echo "  xfce4 + xrdp 部署完成"
echo "============================================"
systemctl is-active --quiet xrdp && echo "xrdp 状态: 运行中" || echo "xrdp 状态: 异常, 请检查"
echo ""
echo "连接方式:"
echo "  Windows: 远程桌面连接(mstsc)"
echo "  地址:    <服务器公网IP>:3389"
echo "  用户名:  root"
echo "  密码:    服务器 root 密码"
echo ""
echo "注意事项:"
echo "  1. 云服务器安全组需放行 3389/TCP 端口"
echo "  2. 若 root 无密码,请先执行: passwd root"
echo "  3. 安全建议: 生产环境修改默认端口或限定来源 IP"
echo "============================================"

三、关键配置说明

配置项	作用	不配的后果
adduser xrdp ssl-cert	让 xrdp 读取 TLS 私钥	连接报 Cannot read private key
.xsession 指向 startxfce4	指定桌面会话为 xfce4	登录后黑屏或空桌面
dbus-x11	提供 dbus-launch	xfce4 面板/通知异常
colord polkit 规则	抑制颜色管理认证弹窗	登录后反复弹认证框
安全组放行 3389	云平台网络层放行	连接超时无法到达

四、常见问题排查

问题 1：连接报 "connection to user session"

这是最常见的问题，按以下步骤排查：

步骤 1：查看日志

cat /var/log/xrdp-sesman.log
cat /var/log/xrdp.log
# 或
journalctl -u xrdp-sesman -n 50 --no-pager

步骤 2：常见原因及修复

原因 A：.xsession 内容不匹配

# 尝试改用 xfce4-session
echo "xfce4-session" > /root/.xsession
chmod +x /root/.xsession
systemctl restart xrdp xrdp-sesman

原因 B：xrdp-sesman 未正确重启

systemctl restart xrdp-sesman
systemctl restart xrdp
systemctl status xrdp-sesman

原因 C：缺少 xorgxrdp 包

apt-get install -y xorgxrdp
systemctl restart xrdp xrdp-sesman

步骤 3：一键修复

apt-get install -y xorgxrdp dbus-x11
echo "xfce4-session" > /root/.xsession
chmod +x /root/.xsession
chmod 1777 /tmp/.X11-unix 2>/dev/null || mkdir -p /tmp/.X11-unix && chmod 1777 /tmp/.X11-unix
systemctl daemon-reload
systemctl restart xrdp-sesman
systemctl restart xrdp
systemctl is-active xrdp xrdp-sesman
ss -tlnp | grep 3389

问题 2：连接超时

检查云服务器安全组是否放行 3389/TCP 端口，这是脚本无法代为操作的。

问题 3：root 无密码

passwd root

五、安全建议

1. 修改默认 3389 端口为非标准端口
2. 通过安全组限制来源 IP
3. 使用 SSH 隧道转发 RDP 流量
4. 生产环境不建议用 root 直接远程登录