关于OpenStack中虚拟机VNC访问安全问题

admin

关于OpenStack中虚拟机VNC访问安全问题
! d. u: ?9 _( @2 t前几天收到甲方给出的文件信息，线上OpenStack环境的物理机VNC端口能够自由访问，要求整改。
" P9 ^& G# c! K随机抽查了两台宿主机的VNC端口，确实很多业务的同学使用noVNC后没有退出终端的习惯，往往都是用完了就直接关闭窗口。不得不说这样隐患很大啊，首先不说通过外部方式规避风险，如果内网里面有一些script kiddie随时都能将我们线上的虚拟机VNC端口扫出来干些坏事。我这里也用过nmap测试了下开发环境的网络端口，如下：
[root@controller1 ~]# nmap 10.161.53.1
: s2 V0 ~% `& f1 b% C0 TStarting Nmap 6.40 ( http://nmap.org ) at 2022-01-17 09:46 CST
Nmap scan report for compute10 (10.161.53.1)
Host is up (0.000080s latency).
Not shown: 989 closed ports
PORT     STATE SERVICE
0 Z9 _7 Z' D6 V& C22/tcp   open  ssh
: }& v+ F* @% e& M5900/tcp open  vnc
* d" z5 l) z, E5 n0 h+ k7 d5 z, M0 b5901/tcp open  vnc-1
5902/tcp open  vnc-2
1 K2 s- x2 o/ B* B2 ~$ d% b5903/tcp open  vnc-3
5904/tcp open  unknown
5906/tcp open  unknown
1 p% g6 ~7 W" c5907/tcp open  unknown
, h; l; U, |0 s* |5910/tcp open  cm
5911/tcp open  cpdlc
8022/tcp open  oa-system
0 V/ t) K5 |- s* v% NMAC Address: D4:5D:64:08:45:02 (Unknown)
Nmap done: 1 IP address (1 host up) scanned in 1.65 seconds
[root@controller1 ~]# nmap 10.161.53.2
0 m" j+ y. ~3 H, WStarting Nmap 6.40 ( http://nmap.org ) at 2022-01-17 09:46 CST
Nmap scan report for compute11 (10.161.53.2)
7 \1 x# t1 j2 g$ fHost is up (0.000070s latency).
  \  l( e) h; x/ Z  V/ t3 z9 a  I( rNot shown: 989 closed ports
PORT     STATE SERVICE
22/tcp   open  ssh
5900/tcp open  vnc
5901/tcp open  vnc-1
# k9 ^- W9 ]' e5 H1 E5 }3 M5902/tcp open  vnc-2
6 L5 t8 z* r" u/ ~6 M' \3 k0 K5903/tcp open  vnc-3
! |1 F, Y3 ?/ `0 y) H* Z5904/tcp open  unknown
5906/tcp open  unknown
5907/tcp open  unknown
5911/tcp open  cpdlc
5915/tcp open  unknown
8022/tcp open  oa-system
MAC Address: D4:5D:64:07:B3:DA (Unknown)
' I1 X0 n% @$ b. i5 S/ jNmap done: 1 IP address (1 host up) scanned in 1.67 seconds
[root@controller1 ~]# nmap 10.161.53.3
Starting Nmap 6.40 ( http://nmap.org ) at 2022-01-17 09:46 CST
Nmap scan report for compute01 (10.161.53.3)
4 x2 H) o8 B% JHost is up (0.000076s latency).
5 \5 L1 `; U( g+ O- _" RNot shown: 992 closed ports
3 V5 O; K. P* ?8 o1 ]  b! ?5 y" t* gPORT     STATE SERVICE
22/tcp   open  ssh
; X7 a( J( U/ M) K. |# s0 t7 W5900/tcp open  vnc
% P. J( @' y: ^8 O( k# Q4 K5901/tcp open  vnc-1
; w: F' h% U# V1 r5902/tcp open  vnc-2
5903/tcp open  vnc-3
5904/tcp open  unknown
  ?, h& _9 {2 \# D5906/tcp open  unknown
8022/tcp open  oa-system
MAC Address: D4:5D:64:08:45:5E (Unknown)
Nmap done: 1 IP address (1 host up) scanned in 1.68 seconds
[root@controller1 ~]# nmap 10.161.53.4
. @5 s  c2 j3 Q; v( f3 |Starting Nmap 6.40 ( http://nmap.org ) at 2022-01-17 09:46 CST
4 p* A# N; k  O. F8 pNmap scan report for compute02 (10.161.53.4)
Host is up (0.000081s latency).
Not shown: 988 closed ports
+ P- z/ r( [) |* O5 g' TPORT     STATE SERVICE
22/tcp   open  ssh
- j9 @8 f1 @" F7 s" o+ v5900/tcp open  vnc
7 b+ w  e- r' w- E5901/tcp open  vnc-1
5902/tcp open  vnc-2
, k7 N6 z! h  g$ g9 J* Z& r5903/tcp open  vnc-3
5904/tcp open  unknown
% X, D2 R$ `+ f' g9 A& o+ v5906/tcp open  unknown
5907/tcp open  unknown
1 I2 _2 @  \8 N2 h7 B% Z1 h# z5910/tcp open  cm
) g9 y# f, S0 X) W+ {% B5 b5911/tcp open  cpdlc
5915/tcp open  unknown
8022/tcp open  oa-system
MAC Address: D4:5D:64:08:45:D6 (Unknown)
Nmap done: 1 IP address (1 host up) scanned in 1.67 seconds
) T4 B1 N/ V; F3 @6 @[root@controller1 ~]# nmap 10.161.53.5
Starting Nmap 6.40 ( http://nmap.org ) at 2022-01-17 09:47 CST
& t9 t, x3 E8 u4 @Nmap scan report for compute03 (10.161.53.5)
Host is up (0.000082s latency).
Not shown: 993 closed ports
: l* A- F3 c: n, T0 _2 W$ GPORT     STATE SERVICE
22/tcp   open  ssh
1 J& L: n% p- W; t# T5900/tcp open  vnc
1 D$ F: }8 m% B  ~8 x0 t; O5901/tcp open  vnc-1
* D; t& |2 U2 `. }6 L8 u5902/tcp open  vnc-2
' Z% k6 T- S5 c" s: N6 J: L5903/tcp open  vnc-3
7 f) f, Z# G& Q8 {7 G5904/tcp open  unknown
8022/tcp open  oa-system
MAC Address: D4:5D:64:08:44:DE (Unknown)
Nmap done: 1 IP address (1 host up) scanned in 1.67 seconds
% W) i% i; E- [[root@controller1 ~]# nmap 10.161.53.6
% X$ M( \/ R. E7 w) b  M( W( H$ IStarting Nmap 6.40 ( http://nmap.org ) at 2022-01-17 09:47 CST
Nmap scan report for controller1 (10.161.53.6)
Host is up (0.000014s latency).
& @( h  y. E, W/ nNot shown: 992 closed ports
PORT     STATE    SERVICE
( u8 c/ Q3 C% J22/tcp   open     ssh
6 k+ U' v) ?0 y7 }80/tcp   open     http
! C2 V0 x+ a; y1 g! q1984/tcp open     bigbrother
3306/tcp open     mysql
4000/tcp filtered remoteanything
4567/tcp open     tram
5000/tcp open     upnp
5001/tcp open     commplex-link
# k: P: b/ {1 ]9 q$ o% ?Nmap done: 1 IP address (1 host up) scanned in 2.75 seconds
- p3 d" M7 K- h  q) w0 K( o# e[root@controller1 ~]# nmap 10.161.53.7
Starting Nmap 6.40 ( http://nmap.org ) at 2022-01-17 09:47 CST
0 ~7 }; W& c5 b- |' ^Nmap scan report for controller2 (10.161.53.7)
Host is up (0.000078s latency).
; ?) X) o1 k' A/ X* @Not shown: 993 closed ports
$ S. p* J& `* `- O; N' gPORT     STATE SERVICE
22/tcp   open  ssh
80/tcp   open  http
1984/tcp open  bigbrother
- Q, ]& k% `! s& k& k/ G* I: s5 r% m. L3306/tcp open  mysql
4567/tcp open  tram
5000/tcp open  upnp
5001/tcp open  commplex-link
MAC Address: D4:5D:64:08:45:0A (Unknown)
Nmap done: 1 IP address (1 host up) scanned in 1.55 seconds
+ m! o4 a7 S) s' x
结果太恐怖了吧，如果有业务同学在使用noVNC之后没有退出终端，那么另一个人如果知道了宿主机的IP和端口是完全可以登录这台虚拟机的，直接操作虚机，后果不堪设想：
. Z- c3 J  u# ^7 I0 l6 R8 J
解决
知道了问题，那就有对应的解决方案！
: A* a8 @" ]8 K" V, E目前我们暂时只想到两个方法来解决这个问题，其他方法还有待大牛给予指导：
: S4 |. H  `- }( w# }; P. o
. s+ S4 u/ ^9 K1 d7 S' k方案一
1 a" {" g6 m1 ?通过firewalld限制INPUT表对5900:6000的访问规则
, o* G" t* Y8 T' f4 b( X方案二
  A0 r$ x/ Q! v* [( O添加密码访问VNC

! P# n5 u% c5 Z: n, l操作
firewalld
我们知道OpenStack通过VNC Proxy将管理网和业务网隔离开来，以便我们可以使用管理网络的6080端口访问虚拟机VNC，同时提供Token用于验证访问的合法性。一个VNC Proxy在OpenStack里的处理流程如下：
VNC Porxy处理流程
1. 一个用户试图从浏览器里面打开连接到虚拟机的VNC Client
2. 浏览器向nova-api发送请求，要求返回访问vnc的url
) I8 C. z; o8 x% N% ]4 T3. nova-api调用nova-compute的get vnc console方法，要求返回连接VNC的信息
1 e* e% o- w* ^. Z  d4.nova-compute调用libvirt的get vnc console函数
5.libvirt会通过解析虚拟机运行的/etc/libvirt/qemu/instance-0000000c.xml文件来获得VNC Server的信息
6.libvirt将host, port等信息以json格式返回给nova-compute
$ U7 `. r  d1 H3 ?7.nova-compute会随机生成一个UUID作为Token
( V+ m% z3 ^0 M% q% ?7 A5 }6 x! T8.nova-compute将libvirt返回的信息以及配置文件中的信息综合成connect_info返回给nova-api
9.nova-api会调用nova-consoleauth的authorize_console函数
10.nova-consoleauth会将instance –> token, token –> connect_info的信息cache起来
11.nova-api将connect_info中的access url信息返回给浏览器：http://contorller:6080/vnc_auto.html?token=7efaee3f-eada-4731-a87c-e173cbd25e98&title=helloworld%289169fdb2-5b74-46b1-9803-60d2926bd97c%29
12.浏览器会试图打开这个链接
( \+ M6 z% g! M$ w5 ]13.这个链接会将请求发送给nova-novncproxy
2 O/ |6 ^+ y; `) v. }14.nova-novncproxy调用nova-consoleauth的check_token函数
15.nova-consoleauth验证了这个token，将这个instance对应的connect_info返回给nova-novncproxy
: ^! b/ j2 m, b4 U16.nova-novncproxy通过connect_info中的host, port等信息，连接compute节点上的VNC Server，从而开始了proxy的工作
4 g- f9 Z. U. w; G/ S2 @6 t$ ~. s这里重要的就是第16步, nova-novncproxy是通过连接host:vncport的方式提供vnc访问服务。
6 d: S% [6 J- a那么也就是说，计算节点的VNC端口只需要让nova-novncporxy服务能够访问就行，有了这个就好办了。
% R# }1 `4 G( Y5 m7 s+ H3 h* t+ p5 e! |操作firewalld
在所有计算节点firewalld的INPUT表中添加如下规则：

检查防火墙是否启动：
systemctl status firewalld.service
启动防火墙：
5 `6 L  `+ I5 Z) Dsystemctl start  firewalld.service
9 t' Y& B5 _' p& [  q% I' {" F
# [4 Q! I( R% U* w
开机启动防火墙：
% v- r" \( b  \/ msystemctl enable firewalld.service
0 i9 O+ a+ i" y1 b; H添加规则：
8 P/ D( u% ^( ]8 i3 K  firewall-cmd --permanent --add-rich-rule="rule family="ipv4" source address="10.161.53.6" port protocol="tcp" port="5900-6000" accept"
   firewall-cmd --permanent --add-rich-rule="rule family="ipv4" source address="10.161.53.100" port protocol="tcp" port="5900-6000" accept"
7 I* \3 V0 c0 i3 u+ K firewall-cmd --reload
firewall-cmd --list-all
2 p+ g, K3 H) ^6 X7 z. {: F删除规则：
% y$ k; m. n) F; ]2 Q, ^% ]  firewall-cmd --permanent --remove-rich-rule="rule family="ipv4" source address="10.161.53.6" port protocol="tcp" port="5900-6000" accept"
" @# e) h: k" {
firewall-cmd --reload
firewall-cmd --list-all
& O2 Z, r* G7 \, ^3 f, r4 ]9 j

2 L' F9 }, C* E( m+ A添加防火墙规则：
firewall-cmd --permanent --add-rich-rule="rule family="ipv4" source address="10.161.53.31/27" port protocol="tcp" port="5900-6000" accept"

: m1 f! U" M; P! P: Wfirewall-cmd --reload

7 B: j2 e, `9 r, p& v% C" v) s通过测试上面开启的firewalld会导致业务无法访问。
这里改变方式使用iptables的规则吧：
# W# t- a. v, r/ u, {
iptables -A INPUT -s 10.161.53.31/27 -p tcp -m multiport --dports 5900:5999 -m comment --comment "ACCEPT VNC Port only by Controller Node" -j ACCEPT
iptables -L
iptables -A INPUT -p tcp -m multiport --dports 5900:5999 -j REJECT --reject-with icmp-port-unreachable


- A; O6 r" q! _' P( n$ w# F

admin

4.解决方案
4 u. z5 i& I7 f3 x' _
①从交换和防火墙的ACL控制IP访问
②修改各计算节点 nova.conf中 vncserver_listen 配置为内网 IP ，保证新建虚机没问题
③现有以及之后新建的的虚拟机，修改 libvirt.xml 中的 vnc 的监听端口，保证虚机重启后不会向公网开放端口
④修改IPtables配置规则，屏蔽端口访问，把除内网以外网段的5900~5999端口给封禁
⑤vnc增加访问密码
, T! f/ V; n' _2 z& G5 F$ W
$ e+ J8 E* Q, e( q/ h6 C" J下面针对方法④和方法⑤进行详细的说明。
④配置IPtables
根据OpenStack VNC Proxy 流程分析中的，第16步, nova-novncproxy是通过连接host:vncport的方式提供vnc访问服务。即，计算节点的VNC端口只需要允许让nova-novncporxy服务能够访问就行。
在所有计算节点IPTABLES的INPUT表中添加如下规则：
( o. a8 p4 v9 {% x" R

admin

①从交换和防火墙的ACL控制IP访问
②修改各计算节点 nova.conf中 vncserver_listen 配置为内网 IP ，保证新建虚机没问题
2 D- u' n; m% f8 J③现有以及之后新建的的虚拟机，修改 libvirt.xml 中的 vnc 的监听端口，保证虚机重启后不会向公网开放端口
: s+ T% W7 B3 `# n④修改IPtables配置规则，屏蔽端口访问，把除内网以外网段的5900~5999端口给封禁
+ m4 g7 O  }5 ^  {7 r. x, a% D⑤vnc增加访问密码
下面针对方法④和方法⑤进行详细的说明。
④配置IPtables
" x7 n: E" {  F根据OpenStack VNC Proxy 流程分析中的，第16步, nova-novncproxy是通过连接host:vncport的方式提供vnc访问服务。即，计算节点的VNC端口只需要允许让nova-novncporxy服务能够访问就行。

在所有计算节点IPTABLES的INPUT表中添加如下规则：
9 @9 l) P% Q( P7 @, \( I' t# p
6 Q" s) r0 `* s. J. X$ iptables -A INPUT -s {{ CONTROLLER_NODE_IP }}/32 -p tcp -m multiport --dports 5900:5999 -m comment --comment "ACCEPT VNC Port only by Controller Node" -j ACCEPT
7 d) h' Q3 H) @8 e
$ iptables -A INPUT -p tcp -m multiport --dports 5900:5999 -j REJECT --reject-with icmp-port-unreachable
! w" w9 k5 H: e( S# \
意思就是只允许控制节点访问本机的5900-5999端口，其他的一律拒绝。
当再次使用nmap进行扫描时，便不能看到VNC的端口。

$ nmap 10.161.53.1 5900
9 q3 g% U* a6 v7 s⑤VNC添加访问密码
2 D' E, @' l* l" O/ M0 N9 W/ w对应的配置文件为：virt/libvirt/config.py

: q! j/ k3 A0 h  a7 llibvirtd在<graphics>域里面是支持配置VNC的访问密码
8 P- d' W' o5 [, k; F  {2 [
...
<graphics type='vnc' port='-1' autoport='yes' listen='192.168.23.59' passwd='YOUR-PASSWORD-HERE' keymap='en-us'/>
...
，那么Nova在创建虚拟机配置的方法中也可以找到对应graphics的代码，我这里修改得很简单，直接在返回的dev列表里面添加个passwd的value，而value就是VNC的访问密码。
# V  `! h, v( ]% L1 N  c) a
class LibvirtConfigGuestGraphics(LibvirtConfigGuestDevice):

0 b' Y" @* V" S4 m1 L( s    def __init__(self, **kwargs):
5 {& M# C+ p# A( D0 @* R         super(LibvirtConfigGuestGraphics, self).__init__(root_name="graphics",
                                                          **kwargs)

         self.type = "vnc"
         self.autoport = True
         self.keymap = None
/ s( Z% v" g$ Q4 S0 C, h         self.listen = None
, R. h0 _+ d5 O: }& q: f
     def format_dom(self):
9 @* P9 O5 h7 Z$ \% _! `( y         dev = super(LibvirtConfigGuestGraphics, self).format_dom()

         dev.set("type", self.type)
         if self.autoport:
9 M+ y% r; M( P2 E- n             dev.set("autoport", "yes")
+ F2 x7 I, I/ V6 i6 `9 }/ l         else:
1 a5 |) s- B2 c5 k/ w             dev.set("autoport", "no")
         if self.keymap:
6 y5 n0 b" {: Z+ w3 l# G             dev.set("keymap", self.keymap)
; f  N% i( A4 y9 X         if self.listen:
             dev.set("listen", self.listen)
#       dev.set("passwd", "123456")
8 ^* h3 B0 O- x' W& W4 w! o/ N/ j         return dev
* o* r* S: l8 Q8 q, L: q. y其中dev.set("passwd", "123456")是新加入的一行，如果不需要vnc访问输入密码，直接注释掉即可。
下面是一次解决过程，因开发环境使用的是容器化部署，文件路径比较长。
解决过程
查找文件

6 |: l- o8 [  z9 [root@controller1:~# find /var/lib/docker/aufs/diff  -name config.py | grep nova
/var/lib/docker/aufs/diff/pr0XDEZwLDflwwzUPc0mNVYwf6b3wJ4wxEwxNBRlmKMD7qRurdlBck41J8hAkjd3/usr/lib/python2.7/dist-packages/nova/config.py
/var/lib/docker/aufs/diff/pr0XDEZwLDflwwzUPc0mNVYwf6b3wJ4wxEwxNBRlmKMD7qRurdlBck41J8hAkjd3/usr/lib/python2.7/dist-packages/nova/virt/libvirt/config.py
/var/lib/docker/aufs/diff/pr0XDEZwLDflwwzUPc0mNVYwf6b3wJ4wxEwxNBRlmKMD7qRurdlBck41J8hAkjd3/usr/lib/python2.7/dist-packages/nova/common/config.py
进入配置文件所在路径

" [0 j+ j, i. q8 z  |+ Rroot@controller01:~# cd /var/lib/docker/aufs/diff/pr0XDEZwLDflwwzUPc0mNVYwf6b3wJ4wxEwxNBRlmKMD7qRurdlBck41J8hAkjd3/usr/lib/python2.7/dist-packages/nova/virt/libvirt/
2 r, L; ?0 s# ^  I! Qroot@controller01:/var/lib/docker/aufs/diff/pr0XDEZwLDflwwzUPc0mNVYwf6b3wJ4wxEwxNBRlmKMD7qRurdlBck41J8hAkjd3/usr/lib/python2.7/dist-packages/nova/virt/libvirt# ls
blockinfo.py   compat.py   config.py          config.pyc   designer.pyc  driver.pyc   firewall.pyc  guest.pyc  host.pyc         imagebackend.pyc  imagecache.pyc  __init__.pyc           instancejobtracker.pyc  migration.pyc  utils.py   vif.py   volume
) ]/ g, h& G, J4 k& mblockinfo.pyc  compat.pyc  config.py.bak.ori  designer.py  driver.py     firewall.py  guest.py      host.py    imagebackend.py  imagecache.py     __init__.py     instancejobtracker.py  migration.py            storage        utils.pyc  vif.pyc
" b/ B/ z: I' l/ d0 I. v7 ]修改配置文件

/ d' s% z0 q7 ]root@controller1:/var/lib/docker/aufs/diff/pr0XDEZwLDflwwzUPc0mNVYwf6b3wJ4wxEwxNBRlmKMD7qRurdlBck41J8hAkjd3/usr/lib/python2.7/dist-packages/nova/virt/libvirt# vim config.py
在这里插入图片描述
修改后，重启nova-compute服务，即在下次创建虚拟机的时候生效，其结果如下：
在这里插入图片描述
) s) |- J' J, B  ?! Z, h5 c输入密码virt/libvirt/config.py配置中新增的密码123456即可正进入虚拟机。
) ~" W8 a' k! [! B6 D

admin

4.解决方案
①从交换和防火墙的ACL控制IP访问
$ J- P9 P( u* |②修改各计算节点 nova.conf中 vncserver_listen 配置为内网 IP ，保证新建虚机没问题
③现有以及之后新建的的虚拟机，修改 libvirt.xml 中的 vnc 的监听端口，保证虚机重启后不会向公网开放端口
( S" {; l2 v8 h& n④修改IPtables配置规则，屏蔽端口访问，把除内网以外网段的5900~5999端口给封禁
⑤vnc增加访问密码
下面针对方法④和方法⑤进行详细的说明。
5 m# @2 ?- A; q& P  M+ ?9 g④配置IPtables
- z8 ?/ g  ?$ ], Z9 H( h& y根据OpenStack VNC Proxy 流程分析中的，第16步, nova-novncproxy是通过连接host:vncport的方式提供vnc访问服务。即，计算节点的VNC端口只需要允许让nova-novncporxy服务能够访问就行。

7 F/ U. `0 @0 h. R4 Y2 S在所有计算节点IPTABLES的INPUT表中添加如下规则：
1 ~0 D; {' q4 o$ F9 p; `$ p
$ n2 c2 {% d" F2 f2 |$ iptables -A INPUT -s {{ CONTROLLER_NODE_IP }}/32 -p tcp -m multiport --dports 5900:5999 -m comment --comment "ACCEPT VNC Port only by Controller Node" -j ACCEPT

" i1 y8 ]0 F4 N8 S! X5 E0 w$ iptables -A INPUT -p tcp -m multiport --dports 5900:5999 -j REJECT --reject-with icmp-port-unreachable
. ?/ C6 X5 D# E( g意思就是只允许控制节点访问本机的5900-5999端口，其他的一律拒绝。
当再次使用nmap进行扫描时，便不能看到VNC的端口。
0 o3 Q2 R4 I( K, W
$ nmap 192.168.23.12
  v0 b  O8 o' Y8 J⑤VNC添加访问密码
7 F- e4 E' e+ U1 r: a对应的配置文件为：virt/libvirt/config.py

libvirtd在<graphics>域里面是支持配置VNC的访问密码
+ z( S# Q6 z) a& W
...
<graphics type='vnc' port='-1' autoport='yes' listen='192.168.23.59' passwd='YOUR-PASSWORD-HERE' keymap='en-us'/>
. U/ c* Y0 M+ ]; Z...
，那么Nova在创建虚拟机配置的方法中也可以找到对应graphics的代码，我这里修改得很简单，直接在返回的dev列表里面添加个passwd的value，而value就是VNC的访问密码。
$ ?3 _/ ~" N- Y/ z
: }! |- _( L: R1482 class LibvirtConfigGuestGraphics(LibvirtConfigGuestDevice):
8 {; ~7 ]6 H! d+ [0 M# z4 n# O1483
1484     def __init__(self, **kwargs):
% }  k" h' L0 Q9 \: f* u7 \$ F1485         super(LibvirtConfigGuestGraphics, self).__init__(root_name="graphics",
1486                                                          **kwargs)
; r# D) ]4 j; w/ [6 X) o1487
0 j5 P' x/ P$ c1488         self.type = "vnc"
1489         self.autoport = True
! W- q. O1 _- k  W2 x( x1490         self.keymap = None
/ x; q5 v6 x! x8 D/ T0 V1491         self.listen = None
1492
1493     def format_dom(self):
6 v% @* V% G3 @1494         dev = super(LibvirtConfigGuestGraphics, self).format_dom()
1495
1496         dev.set("type", self.type)
1497         if self.autoport:
1498             dev.set("autoport", "yes")
  _' D. ^  o" B9 S5 f1499         else:
( w( u5 M9 _6 o2 n1500             dev.set("autoport", "no")
1501         if self.keymap:
1502             dev.set("keymap", self.keymap)
- F' b, E1 d5 u0 |$ {1503         if self.listen:
1504             dev.set("listen", self.listen)
1505 #       dev.set("passwd", "123456")
* l; s4 b4 t7 u( |/ A1506         return dev
, ?* }' h; T) ]- e5 _+ G$ n) o其中dev.set("passwd", "123456")是新加入的一行，如果不需要vnc访问输入密码，直接注释掉即可。
下面是一次解决过程，因开发环境使用的是容器化部署，文件路径比较长。
解决过程
) b( _  ^! W7 \6 W' W( D查找文件

root@controller1:~# find /var/lib/docker/aufs/diff  -name config.py | grep nova
/var/lib/docker/aufs/diff/pr0XDEZwLDflwwzUPc0mNVYwf6b3wJ4wxEwxNBRlmKMD7qRurdlBck41J8hAkjd3/usr/lib/python2.7/dist-packages/nova/config.py
/var/lib/docker/aufs/diff/pr0XDEZwLDflwwzUPc0mNVYwf6b3wJ4wxEwxNBRlmKMD7qRurdlBck41J8hAkjd3/usr/lib/python2.7/dist-packages/nova/virt/libvirt/config.py
" [7 R3 @# H. q+ K9 ]/var/lib/docker/aufs/diff/pr0XDEZwLDflwwzUPc0mNVYwf6b3wJ4wxEwxNBRlmKMD7qRurdlBck41J8hAkjd3/usr/lib/python2.7/dist-packages/nova/common/config.py
9 T5 K- I2 r) R+ U5 F进入配置文件所在路径
; I9 Y8 t( U/ C9 Z5 l
root@controller01:~# cd /var/lib/docker/aufs/diff/pr0XDEZwLDflwwzUPc0mNVYwf6b3wJ4wxEwxNBRlmKMD7qRurdlBck41J8hAkjd3/usr/lib/python2.7/dist-packages/nova/virt/libvirt/
root@controller01:/var/lib/docker/aufs/diff/pr0XDEZwLDflwwzUPc0mNVYwf6b3wJ4wxEwxNBRlmKMD7qRurdlBck41J8hAkjd3/usr/lib/python2.7/dist-packages/nova/virt/libvirt# ls
, c; u. h! X' fblockinfo.py   compat.py   config.py          config.pyc   designer.pyc  driver.pyc   firewall.pyc  guest.pyc  host.pyc         imagebackend.pyc  imagecache.pyc  __init__.pyc           instancejobtracker.pyc  migration.pyc  utils.py   vif.py   volume
2 y3 l$ i1 J0 b& e4 v1 Q! cblockinfo.pyc  compat.pyc  config.py.bak.ori  designer.py  driver.py     firewall.py  guest.py      host.py    imagebackend.py  imagecache.py     __init__.py     instancejobtracker.py  migration.py            storage        utils.pyc  vif.pyc
$ D; o+ R. W% h+ G" l修改配置文件
4 Q1 x" N& M2 E: i$ o+ _1 J  K: K
root@controller1:/var/lib/docker/aufs/diff/pr0XDEZwLDflwwzUPc0mNVYwf6b3wJ4wxEwxNBRlmKMD7qRurdlBck41J8hAkjd3/usr/lib/python2.7/dist-packages/nova/virt/libvirt# vim config.py