新手如何用VNC Viewer远程桌面连接CentOS系统？

VNC（Virtual Network Computing）是一种强大的图形化桌面共享系统，它允许用户通过网络远程控制另一台计算机，对于系统管理员和开发者而言，使用VNC Viewer远程访问并管理CentOS服务器是一种常见且高效的工作模式，尤其是在需要运行图形化应用程序或进行可视化配置时，本文将详细介绍如何在CentOS系统上搭建VNC服务器，并使用VNC Viewer客户端建立稳定、安全的远程连接。

VNC工作原理简介

理解VNC的工作模式是成功配置的第一步，VNC采用经典的客户端/服务器架构：

• VNC Server：运行在需要被远程控制的CentOS服务器上，它捕获服务器的图形桌面环境,并将其通过网络传输出去。
• VNC Viewer：运行在本地计算机上（如Windows、macOS或Linux桌面），它接收来自VNC Server的屏幕更新，并将本地的鼠标和键盘操作回传给服务器,从而实现交互式的远程控制。

在CentOS上安装和配置VNC服务器

以下步骤将以主流的CentOS 7/8/9为例，使用tigervnc-server作为VNC服务器软件。

环境准备与桌面环境安装

VNC是用于远程控制图形界面的，因此CentOS服务器必须安装有桌面环境，如果是最小化安装的系统,需要先安装一个。

对于服务器而言，轻量级的XFCE桌面是一个绝佳选择，它资源占用少,响应迅速。

# 安装EPEL仓库（如果尚未安装）
sudo yum install epel-release -y
# 安装XFCE桌面环境及必要的组件
sudo yum groupinstall "Xfce" -y

安装完成后，设置系统默认启动目标为图形界面（可选，但推荐）。

sudo systemctl set-default graphical.target

安装VNC服务器软件

使用yum或dnf命令安装tigervnc-server。

sudo yum install tigervnc-server -y

配置VNC服务与服务密码

VNC服务可以为不同用户配置不同的远程桌面，我们将为特定用户（用户名为admin）配置VNC服务。

切换到要配置VNC的用户，并为其设置VNC连接密码，这个密码与系统登录密码无关,专门用于VNC验证。

# 切换到目标用户
su - admin
# 运行vncpasswd命令设置密码
vncpasswd

系统会提示您输入密码并进行验证，还会询问是否设置一个“view-only”密码，根据需求选择即可（通常输入n）。

配置VNC服务，现代CentOS版本使用systemd来管理VNC服务,我们需要为每个用户创建一个专门的服务配置文件。

# 复制模板服务文件
sudo cp /usr/lib/systemd/system/vncserver@.service /etc/systemd/system/vncserver@:1.service

这里的1代表桌面号（Display Number），对应的端口就是5901，如果需要为第二个用户配置，可以创建vncserver@:2.service，对应端口5902,以此类推。

编辑刚创建的服务文件：

sudo vi /etc/systemd/system/vncserver@:1.service

找到以下两行，并修改<USER>为你的实际用户名（这里是admin）：

# 修改前
# ExecStart=/usr/sbin/runuser -l <USER> -c "/usr/bin/vncserver %i"
# PIDFile=/home/<USER>/.vnc/%H%i.pid
# 修改后（将<USER>替换为admin）
ExecStart=/usr/sbin/runuser -l admin -c "/usr/bin/vncserver %i"
PIDFile=/home/admin/.vnc/%H%i.pid

为了让VNC启动时加载XFCE桌面，还需要编辑用户的启动脚本，切换回admin用户并编辑~/.vnc/xstartup文件。

# 确保在admin用户下
su - admin
# 编辑xstartup文件
vi ~/.vnc/xstartup

清空文件原有内容，填入以下内容,确保VNC启动时运行XFCE会话：

#!/bin/bash
unset SESSION_MANAGER
unset DBUS_SESSION_BUS_ADDRESS
exec /usr/bin/startxfce4

保存文件后,为其添加可执行权限：

chmod +x ~/.vnc/xstartup

配置防火墙

CentOS的默认防火墙firewalld会阻止外部连接,必须开放VNC服务所使用的端口。

桌面号	对应TCP端口	firewalld服务名
:1	5901	vnc-server
:2	5902	vnc-server
…	…	…

可以直接开放端口，或者使用firewalld预定义的服务，推荐后者,更规范。

# 添加vnc-server服务到firewalld的永久规则
sudo firewall-cmd --permanent --add-service=vnc-server
# 重载防火墙配置使规则生效
sudo firewall-cmd --reload
# 检查规则是否已添加
sudo firewall-cmd --list-all

启动并启用VNC服务

配置完成后,就可以启动VNC服务了。

# 重新加载systemd配置，让新服务文件生效
sudo systemctl daemon-reload
# 启动vncserver@:1.service服务
sudo systemctl start vncserver@:1.service
# 设置服务开机自启
sudo systemctl enable vncserver@:1.service
# 检查服务状态，确保正常运行
sudo systemctl status vncserver@:1.service

如果状态显示为active (running)，则说明VNC服务器已在后台成功运行，并监听5901端口。

使用VNC Viewer进行远程连接

获取VNC Viewer

从RealVNC官网下载适用于您本地操作系统的VNC Viewer，它是一款免费、跨平台的客户端软件。

建立连接

打开VNC Viewer，在顶部的地址栏中输入CentOS服务器的IP地址和桌面号，格式为 <IP地址>:<桌面号>。

如果CentOS服务器的IP是168.1.100，我们配置的桌面号是1，那么就输入：
168.1.100:1

或者，也可以直接使用端口号：
168.1.100::5901

身份验证与访问

点击回车后，VNC Viewer会弹出一个密码输入框，这里输入的是之前使用vncpasswd命令为admin用户设置的VNC专用密码。

验证通过后，您将看到CentOS服务器的XFCE桌面环境,现在就可以像操作本地电脑一样进行远程管理了。

安全性优化建议

默认情况下，VNC协议传输的数据是未加密的，这在公网上传输存在安全风险,强烈推荐使用SSH隧道来加密VNC流量。

在本地计算机上打开终端（Windows用户可以使用PowerShell或PuTTY）,执行以下命令：

ssh -L 5901:localhost:5901 admin@192.168.1.100

这个命令的意思是：通过SSH登录到168.1.100服务器（用户admin），并在本地建立一个端口转发，将本地的5901端口映射到远程服务器的localhost:5901。

SSH连接建立后，打开VNC Viewer，连接地址填写：
localhost:1

这样，VNC流量就会通过加密的SSH隧道进行传输,大大提升了安全性。

---

相关问答FAQs

问题1：为什么连接后看到的是一个灰色屏幕，只有几个简单的终端窗口，而不是完整的桌面环境？
解答： 这个问题通常是由于VNC的启动脚本~/.vnc/xstartup配置不正确导致的，当VNC Server启动时，它会执行这个脚本来启动窗口管理器和桌面环境，如果该文件不存在、没有可执行权限，或者内容不正确，VNC就会启动一个非常基础的默认会话（通常是TWM窗口管理器），表现为灰色屏幕，要解决这个问题，请确保已按照本文第二部分第3小节的步骤，为需要远程登录的用户正确创建了~/.vnc/xstartup文件，填入了启动您所安装桌面环境（如startxfce4）的命令，并赋予了可执行权限（chmod +x ~/.vnc/xstartup），修改后，重启对应的VNC服务（sudo systemctl restart vncserver@:1.service）即可生效。

问题2：VNC连接不安全吗？除了SSH隧道，还有其他方法提高安全性吗？
解答： 是的，标准的VNC协议本身不加密，密码和屏幕数据都以明文传输，容易被窃听，SSH隧道是加密VNC流量最常用、最推荐的方法，因为它在不改变VNC配置的情况下，提供了一个安全的加密通道，除了SSH隧道,还可以考虑以下方法：

1. 限制访问源IP：在CentOS防火墙（firewalld）中，使用rich rule（富规则）或zone（区域）策略，仅允许信任的IP地址（如您的公司或家庭公网IP）访问VNC端口（如5901）,这可以减少来自未知来源的攻击面。
2. 使用VPN：如果您的网络架构允许，可以先通过VPN连接到CentOS服务器所在的局域网，然后再通过VNC Viewer访问其内网IP,VPN为整个网络连接提供了加密保护。
3. 配置VNC over X.509证书：一些高级的VNC服务器（如TigerVNC）支持使用SSL/TLS证书进行加密和身份验证，配置相对复杂，需要生成和部署证书，但可以实现端到端的加密连接,无需依赖SSH隧道。

对于绝大多数场景，SSH tunneling提供了最佳的安全性与便利性平衡,是首选方案。