vpn访问UIS打开虚机控制台是黑屏状态，需要放通哪些端口

一、黑屏核心原因
VPN 接入只能打开 UIS 管理页面，但VNC 控制台流量被防火墙拦截；
推荐开启 CVM VNC 代理模式，只放行 CVM 少量端口即可，不用全网放开 CVK 5900 端口段（安全最优）。
方案 A：开启 VNC 代理（推荐，仅放行 CVM 端口，生产首选）
防火墙 / VPN 安全策略放行端口（客户端 VPN 网段 → CVM 管理 IP）
TCP 放行：
8443：UIS 后台 HTTPS 登录（新版 UIS 常用 443）
8081：VNC 代理端口（控制台画面数据流核心端口，黑屏就是缺这个）
可选：8080（HTTP 管理，建议关闭不放）
UIS 后台开启代理配置
登录 CVM 网页 →【系统管理】→【系统参数配置】
找到 VNC 代理服务器：启用，代理地址填写CVM 本机管理 IP
保存，刷新页面重新打开虚拟机控制台即可。
原理：所有虚拟机 VNC 画面统一经由 CVM 8081 转发，无需放行后端所有 CVK 主机的 5900 端口。
方案 B：不开启代理（不推荐，需要放开大量端口）
VPN 客户端网段必须能直达所有 CVK 计算节点 IP，放行：
CVM：TCP 8443
全部 CVK 主机：TCP 5900~5999（每台虚拟机独占一个 59xx 端口）
缺点：端口开放范围大，安全风险高。
补充：SPICE 控制台（部分新版 UIS）
若控制台是 SPICE 协议，额外放行 CVM 代理端口 6081。
二、完整放行清单（代理模式最简版）
VPN 防火墙放行规则（源：VPN 地址段，目的：CVM 管理 IP）
plaintext
允许 TCP 8443
允许 TCP 8081
三、黑屏额外排查点（端口放通仍黑屏时检查）
浏览器禁用拦截弹窗、关闭广告插件，网页控制台依赖弹窗加载 VNC 流；
CVM、CVK 之间防火墙没有拦截 5900 互通（CVM 与 CVK 内网默认互通即可）；
虚拟机不要挂载光驱 / 大量 ISO，容易造成控制台渲染卡死黑屏；
浏览器切换 Chrome/Edge，避免火狐兼容异常。
四、极简总结
最优做法：UIS 开启 VNC 代理，VPN 防火墙放行 CVM 的 8443、8081 两个 TCP 端口；
不开启代理：必须放开所有 CVK 的 5900-5999，安全性差；
8081 端口不通 = 能进后台、控制台黑屏。

通过VPN访问UIS虚拟机控制台出现黑屏，根本原因是VPN或防火墙阻断了控制台画面传输所需的端口。仅仅放通UIS管理平台的端口（如443）是不够的。

要解决这个问题，最推荐、最安全的方法是开启UIS的“VNC代理”功能。这样，你只需要在防火墙上放通代理服务器的少量端口即可，无需开放所有后端服务器的端口范围。

🛠️ 解决方案一：开启VNC代理（强烈推荐）

这是生产环境的首选方案，配置一次即可，安全且高效。

1. 放通防火墙/VPN端口
请在防火墙上配置策略，允许从你的VPN客户端网段访问UIS管理节点（CVM）的IP地址的以下TCP端口：

• 可选端口：

  • 8443：部分旧版UIS的HTTPS管理端口。

  • 6081：如果你的虚拟机使用SPICE协议控制台，需要放行此端口。

2. 在UIS管理平台开启代理

1. 登录UIS管理平台Web界面。

2. 导航至 [系统管理] -> [系统参数配置]。

3. 找到 “VNC代理服务器” 设置，将其启用。

4. 在 “代理地址” 字段中，填写 UIS管理节点（CVM）的管理IP地址。

5. 保存配置并刷新页面，然后重新打开虚拟机控制台测试。

⚙️ 解决方案二：不开启代理（备选，不推荐）

如果因特殊原因无法开启代理，则需要放通更大范围的端口，这会增加安全风险。

• 放通端口：

  • CVM：TCP端口 443 (或 8443)。

  • 所有CVK主机：TCP端口范围 5900-5999。每个虚拟机对应其中的一个端口。

🔍 如果问题依旧，可以进一步排查

如果放通端口后问题依旧，可以按以下顺序排查：

1. 检查浏览器：控制台依赖浏览器弹窗加载VNC流。请确保浏览器没有拦截弹窗，并尝试关闭广告插件，或更换为Chrome/Edge浏览器。

2. 检查虚拟机状态：确认虚拟机是否正常运行。如果虚拟机负载过高，也可能导致控制台无响应。

3. 检查CVM与CVK网络：确认UIS管理节点（CVM）和所有计算节点（CVK）之间的内网通信正常，没有被防火墙拦截。

4. 检查光驱/ISO挂载：虚拟机挂载了大量ISO文件或光驱，有时会导致控制台渲染卡死。

5. 检查VNC代理状态：如果已开启代理但仍黑屏，可以尝试在UIS后台重启VNC代理服务，或检查其日志是否有报错。