Xmanager Passive 模式無法使用：防火牆阻擋 X11 回連端口 6000 的排查與解決

Xmanager Passive 模式允許僅有 SSH 字元介面權限的用戶，透過 SSH X11 Forwarding 將遠端圖形應用傳回本地顯示。若調整防火牆後失效，核心原因是：**伺服器端需向客戶端主動發起 TCP 連線至 X11 端口 (預設 6000+Display號)**，防火牆攔截了此回連。

現象重現

[root@linuxidc ~]# export DISPLAY=10.6.90.41:0.0
[root@linuxidc ~]# xclock
Error: Can't open display: 10.6.90.41:0.0

排查過程

1. 伺服器端抓包：
   tcpdump -i bond0 host 10.6.90.41
   顯示伺服器持續發送 SYN 至客戶端 6000 端口 (X11)，無回應。
2. 客戶端抓包：
   Wireshark 確認客戶端未收到封包 → 被中間防火牆阻擋。
3. 確認客戶端監聽端口：
   360 防火牆/資源監視器顯示 Xmanager.exe 監聽 TCP 6000。
4. 查證標準：
   IANA 註冊 6000/tcp X11、6001/udp X11。
5. 解決：
   網路工程師於防火牆開放伺服器 IP → 客戶端 IP 的 TCP 6000 (或 6000-6063 多顯示器) 入站規則。

核心結論

Xmanager Passive = SSH 22 端口 (控制通道) + 伺服器→客戶端 TCP 6000+ (資料回連)
兩條通路缺一不可。

防火牆規則範例

替代方案：SSH X11 Forwarding (無需額外端口)

# 客戶端啟用 X11 Forwarding
ssh -X user@server
# 或 PuTTY/Xshell 勾選 "Enable X11 Forwarding"

# 伺服器端 /etc/ssh/sshd_config
X11Forwarding yes
X11UseLocalhost no
AddressFamily any
systemctl restart sshd

• 所有圖形流量封裝在 SSH 22 端口隧道內，無需額外開放 6000 端口。
• 效能略低於 Passive 模式，但穿透防火牆/NAT 能力極強。

總結

Xmanager Passive 失效 90% 為防火牆阻擋回連端口 6000，開放雙向 TCP 6000-6063 或改用 SSH X11 Forwarding 即可解決。