CentOS VNC 端口转发设置指南
一、前置准备
- 在服务器上安装并启动 VNC（以 TigerVNC 为例），并为对应用户设置 VNC 密码：执行 vncpasswd。VNC 会话与显示号一一对应，显示号 :N 的端口为 5900+N（如 :1→5901，:5→5905）。
- 出于安全，建议让 VNC 仅监听 localhost，这样只有本机（或经 SSH 隧道）可访问。以 CentOS 6 的配置文件为例，在 /etc/sysconfig/vncservers 的 VNCSERVERARGS[N] 中加入 -localhost；新版本通常可在 systemd 服务或用户环境里设置监听地址。
- 防火墙放行 SSH 端口 22；若需直连 VNC 端口（不推荐），再按需放行对应 590N（示例：firewall-cmd --add-port=5901/tcp --permanent && firewall-cmd --reload）。
二、本地端口转发 LocalForward（最常用）
- 适用场景：你在本地电脑（Windows/macOS/Linux）上，通过 SSH 把本地的某个端口转发到服务器的 VNC 端口，然后用 VNC Viewer 连接本地端口即可。
- 命令模板：ssh -L 本地端口:localhost:服务器VNC端口 -N -f 用户名@服务器IP
- 示例：将本地的 5901 转发到服务器的 :1（5901）
- Linux/macOS：ssh -L 5901:localhost:5901 -N -f alice@203.0.113.10
- Windows（PuTTY）：在 Session 填服务器 IP；左侧 SSH → Tunnels 添加 Source port 5901，Destination 填 localhost:5901，点击 Add；返回 Session 保存并 Open。
- VNC Viewer 连接：地址填 localhost:1（或 127.0.0.1:5901）。隧道建立后，只有隧道存在，VNC 才能连上；关闭 SSH 会话即断开。
- 多用户/多桌面：为 :5 转发可用 ssh -L 5905:localhost:5905 …，VNC Viewer 连 localhost:5。
三、远程端口转发 RemoteForward（从服务器反向暴露到跳板）
- 适用场景：服务器在内网，你希望通过公网跳板把它的 VNC 暴露出来，便于外部访问。
- 基本命令（在内网服务器上执行）：ssh -N -f -R 公网端口:localhost:服务器VNC端口 跳板用户@跳板IP
- 示例：把内网服务器的 :1（5901） 映射到公网跳板的 4499
- 在内网服务器：ssh -N -f -R 4499:localhost:5901 jump@203.0.113.20
- 在跳板机放行端口：firewall-cmd --add-port=4499/tcp --permanent && firewall-cmd --reload
- 如需让外部能连到跳板的该端口，编辑 /etc/ssh/sshd_config 将 GatewayPorts 设为 yes，重启 sshd。
- 外部客户端连接：VNC Viewer 填 跳板IP:4499。
- 提示：若跳板为公网云主机，务必限制来源 IP、使用强认证，并尽量仅在内网使用此方式。
四、常见问题与排查
- 端口计算：显示号 :N → 端口 5900+N；确认服务实际监听的端口（如日志或 vncserver -list），再对应设置转发端口。
- 仅本地监听：若 VNC 配置为 -localhost，外部直连会失败，这是预期行为；请使用 SSH 隧道或调整监听地址后再直连。
- 隧道未建立或已断开：VNC Viewer 连 localhost:1 失败，多半是 SSH 隧道未运行或已退出；重新建立隧道后再连。
- 防火墙/SELinux：确保 22 端口（SSH）开放；若直连 VNC，再放行对应 590N；必要时检查 SELinux 策略。
- 黑屏/桌面未启动：检查用户家目录 ~/.vnc/xstartup 是否启动了桌面环境（如 gnome-session & 或 startkde &），必要时参考对应桌面配置。
