如何在Windows 10下不关闭访问控制配置VcXsrv对接WSL2

配置核心思路 #

网上现有教程普遍通过勾选「Disable access control」打通WSL2的GUI连接，这种配置会让VcXsrv放弃所有来源校验，同局域网内任意可连通本机6000端口的程序，都能窃取键盘输入、鼠标轨迹甚至劫持窗口内容，存在极高安全风险。
我们的配置逻辑是完全保留VcXsrv的访问控制能力，仅为WSL2的专属虚拟网络放行连接权限，同时通过Windows防火墙拦截所有来自物理网卡的X服务端口流量，兼顾使用便利性和安全性。

分步配置流程 #

• 第一步：配置VcXsrv启动参数，全程不勾选禁用访问控制选项
  启动VcXsrv配置向导：
  1. 「Display settings」页面保持默认的「Multiple windows」选项，直接进入下一步
  2. 「Client startup」页面保持「Start no client」选项，直接进入下一步
  3. 「Extra settings」页面不要勾选「Disable access control」，选择「Allow connections from:」选项，在允许列表中添加WSL2的默认动态网段172.16.0.0/12，这样VcXsrv会仅接受来自这个网段的连接，其他所有来源的连接直接被服务端拒绝
  4. 确认保存配置为默认启动项，完成后不要直接启动服务
• 第二步：配置Windows Defender防火墙入站规则，拦截非可信来源的连接
  打开防火墙高级设置，新建入站规则：
  1. 规则类型选择「端口」，匹配TCP协议，指定本地端口为6000（对应VcXsrv默认显示号0，若修改显示号则端口为6000+显示号）
  2. 规则动作选择「允许连接」
  3. 规则应用的网络范围，仅保留「专用网络」匹配
  4. 规则作用域设置中，远程IP范围选择「下列IP地址」，添加WSL2虚拟网卡对应的网段：172.16.0.0/12（WSL2默认动态分配的地址段范围）
  5. 给规则命名为VcXsrv WSL2 Only，完成配置
• 第三步：配置WSL2侧的显示环境变量，避免每次重启手动修改IP
  打开WSL2终端，编辑用户目录下的~/.bashrc（或对应shell的配置文件），在文件末尾追加自动获取宿主机IP的逻辑：

  export DISPLAY=$(ip route | grep default | awk '{print $3}'):0.0
  

  保存后执行source ~/.bashrc生效。WSL2内部的默认网关地址就是宿主机在WSL虚拟网卡上的对应IP，无需手动查询固定值，重启后也能自动适配。
• 第四步：启动VcXsrv，验证连接可用性
  启动配置好的VcXsrv，在WSL2终端中安装GUI测试程序（如x11-apps），执行xeyes验证GUI窗口能否正常弹出。

安全效果说明 #

• VcXsrv全程启用访问控制校验，仅对WSL2专属虚拟网段开放连接权限，其他任意来源的连接请求会被服务端直接拒绝，从根源上避免局域网程序窃听键盘输入、劫持操作的风险
• Windows防火墙规则作为第二道防护，进一步拦截物理网卡侧的非可信流量，即使VcXsrv的访问控制规则出现疏漏，外部局域网设备也无法连通X服务端口
• 无需每次WSL2重启后手动修改IP或调整VcXsrv配置，适配性和操作便利性和传统的“禁用访问控制”方案完全一致

常见踩坑提示

• 如果Win10开启了自带的WSLg功能，需要先在.wslconfig中设置[wsl2] guiApplications=false关闭内置GUI服务器，避免和VcXsrv抢占6000端口
• 不要将6000端口的入站规则开放到公网或者所有物理网卡的流量范围，否则会绕过VcXsrv的访问控制带来安全风险

内容的提问来源于stack exchange，提问作者sfmontyo