UIS的虚拟机控制台VNC提示connect

外部 VNC Viewer 直接访问计算节点 IP + 虚拟机的 libvirt VNC 端口可以正常打开，说明KVM 虚拟机本身 VNC 服务正常，虚拟机内部无问题；问题出在UIS 平台 Web 控制台代理链路（nova‑novncproxy 代理服务、token 鉴权、管理网互通、配置参数）。 Web 控制台不走浏览器直连计算节点，浏览器→CVM 控制节点 novncproxy 代理→计算节点 libvirt‑VNC，是代理转发架构。

排查步骤（按优先级）

1、先确认基础网络：CVM 控制节点和计算节点管理网络互通

1. SSH 登录CVM 控制节点，ping 该虚拟机所在计算节点的管理 IP，保证管理网连通无丢包。
2. 在 CVM 控制节点上，telnet/nc 访问计算节点 IP：虚拟机 VNC 端口，确认 CVM 代理节点可以打通计算节点 VNC 端口。

现象：VNC‑Viewer 是你的 PC 直连计算节点；Web 控制台是CVM 控制节点作为中间代理去连计算节点，PC 通≠CVM 节点能通，很多故障是 CVM 到计算节点管理网不通、防火墙 /iptables 拦截。

2、检查 nova‑novncproxy、nova‑consoleauth 代理服务状态（CVM 控制节点执行）

#查看代理服务状态 systemctl status openstack‑nova‑novncproxy systemctl status openstack‑nova‑consoleauth #如果异常，重启服务 systemctl restart openstack‑nova‑novncproxy systemctl restart openstack‑nova‑consoleauth

日志路径：/var/log/nova/nova‑novncproxy.log，打开控制台时实时看日志，看报错：token 校验失败、连接计算节点拒绝、超时等信息。

注意：集群多 CVM 主备场景，确认当前主 CVM 节点上面 novncproxy 是 running；备节点该服务不工作。

3、重点核查 nova 配置（极易踩坑）

打开/etc/nova/nova.conf

#计算节点配置：novnc代理需要计算节点上报正确管理IP [vnc] enabled=true vncserver_listen=0.0.0.0 vncserver_proxyclient_address=【**计算节点本机管理IP，不要写127.0.0.1**】 #控制节点 novncproxy_host=0.0.0.0 novncproxy_port=6080

常见错误：计算节点 vncserver_proxyclient_address=127.0.0.1，libvirt VNC 只监听本地回环；外部 VNC‑Viewer 访问计算节点公网 IP 可以通（libvirt 配置监听 0.0.0.0），但是 nova 代理程序尝试访问 127.0.0.1，代理连接失败，页面一直 connecting。 修改配置后，所有计算节点重启 nova‑compute

systemctl restart openstack‑nova‑compute

4、防火墙、iptables 过滤

1. 计算节点iptables 不要拦截 VNC 端口范围（默认 5900+）；
2. CVM 控制节点放行 6080 端口（novncproxy）；

iptables ‑nvL

UIS 不要手动修改 firewalld，平台会自动维护；排查可以临时放行测试。

5、浏览器侧排查

1. 打开 F12 开发者工具‑Network，看 websocket 请求： websocket 请求失败 / 超时 / 403；403 代表 token 鉴权失败，需要重启nova‑consoleauth； websocket 一直 pending，代表 CVM 代理到计算节点网络不通。
2. 清除浏览器缓存，关闭浏览器代理插件，更换 Chrome 测试。

6、验证命令行生成控制台 url，定位问题

在 CVM 控制节点执行：

source /etc/profile.d/openstack.sh openstack console url show 【虚拟机UUID】

拿到返回的 novnc url，复制到浏览器打开。

• 如果命令生成的 url 也 connecting：平台后台配置 / 服务问题；
• 如果命令行 url 可以正常打开：Web 界面前端页面 bug，清理浏览器缓存。

区分两种现象

表格

现象	根因
VNC‑Viewer (PC 直连计算节点) 正常；CVM 控制节点上 nc 也可以连通计算节点 VNC 端口，网页 connecting	novncproxy/consoleauth 服务异常，token 鉴权失败，查看 novncproxy 日志
VNC‑Viewer (PC 直连计算节点) 正常；但是 CVM 控制节点无法访问计算节点 VNC 端口	管理网隔离、iptables 拦截、计算节点 nova.conf 的 vncserver_proxyclient_address 写 127.0.0.1

补充常见误区

1. “没有开启 VNC 代理”：UIS/CAS 默认就是开启 novncproxy 网页 VNC 代理，不需要手动开启；网页控制台本身就依赖这套代理，关闭代理网页控制台直接不可用。
2. libvirt 配置 vnc 监听 0.0.0.0，仅决定外部 VNC‑Viewer 能不能直连，和 nova 代理不是一套逻辑，nova.conf 参数单独生效。

快速处理操作顺序

1. SSH 登录主 CVM，重启nova‑novncproxy、nova‑consoleauth，测试网页控制台。
2. CVM 上 nc 测试能否连通对应计算节点 VNC 端口。
3. 检查计算节点nova.conf里面vncserver_proxyclient_address不能写 127.0.0.1，修改后重启 nova‑compute。
4. 看/var/log/nova/nova‑novncproxy.log日志定位具体报错。

UIS控制台VNC提示“connect”通常表示平台到虚拟机VNC端口的TCP连接失败。既然VNC Viewer直连正常，说明虚拟机侧VNC服务正常，问题出在UIS管理节点访问虚拟机网络的路径上。
排查步骤：
1. 确认虚拟机VNC监听地址
在CVK节点上执行：

virsh vncdisplay <虚拟机名称>

查看返回的VNC端口（如:1表示5901）。若监听在127.0.0.1，UIS无法远程连接，需在虚拟机XML配置中将VNC监听改为0.0.0.0。
2. 检查CVK防火墙
UIS管理节点访问CVK的VNC端口（5900+显示号）可能被防火墙拦截。在CVK上执行：

iptables -L -n | grep 590

如有拦截，放行对应端口段：

iptables -I INPUT -p tcp --dport 5900:5999 -j ACCEPT
service iptables save

3. 验证UIS到CVK的网络连通性
从UIS管理节点（或部署UIS的容器）测试：

telnet

不通则检查管理网络路由、交换机ACL或CVK节点安全组策略。
4. 检查UIS平台VNC代理配置
登录UIS管理界面，确认虚拟机所在计算节点的“控制台代理”地址是否为CVK的管理IP，而非127.0.0.1或错误IP。若配置了VNC代理但未启用，UIS仍会尝试直连，需确保代理服务正常运行。
5. 查看UIS日志
在UIS管理节点查看：

cat /var/log/uis/console.log | grep -i vnc

或通过界面“系统管理→日志”过滤VNC相关错误，确认具体连接超时还是拒绝。
若以上均正常，可能是UIS版本与CVK的libvirt VNC配置兼容性问题，建议升级UIS到最新版本或联系H3C技术支持。