VNC 的全称是 Virtual Network Computing，它通过 RFB 协议把远端电脑的屏幕画面实时传输到本地，并回传鼠标键盘操作。和 Windows 自带的远程桌面相比，VNC 的优势是跨平台与轻量，Linux、macOS、Windows 都能互连，而且不强制依赖 Windows 账户授权。想在 Windows 上配置 VNC，通常需要完成服务端安装、防火墙放行、客户端连接三个环节，下面按真实操作路径展开说明。
一、VNC的连接模型与实现选型
VNC 的核心结构分为 VNC Server 和 VNC Viewer 两部分。VNC Server 运行在需要被控制的远程电脑上，默认监听 TCP 5900 端口；VNC Viewer 运行在本地电脑上，输入远程电脑的 IP 地址后发起连接。连接建立后，VNC Server 不断截取远程屏幕并压缩成图像块发送给客户端，同时接收客户端的鼠标坐标和键盘事件。这种基于帧缓冲的传输方式决定了它跨平台兼容性很好，但带宽消耗通常高于 RDP，因为 RDP 走的是图形指令而不是连续图像。
Windows 下常见的 VNC 实现有 TightVNC、RealVNC 和 UltraVNC。TightVNC 免费、开源、体积小，适合局域网管理和简单远程维护；RealVNC 在商业环境中更常见，部分版本支持加密和云端连接，但免费版限制较多；UltraVNC 则提供插件机制，可以加载 AES 加密插件来增强安全。如果只是内网管理 Windows 电脑，TightVNC 基本够用，本文也以它为主线展开，配置思路同样适用于其他 VNC 服务端。
安装前建议先确认远程电脑的网络位置。如果使用动态 IP，最好在路由器里做 DHCP 静态绑定，或者直接在系统网卡里手动指定固定 IP。这样做是为了避免每次连接都要重新查询 IP。若远程电脑和客户端不在同一网段，还需要提前准备 VPN 或端口映射方案，否则 VNC 客户端无法直接访问内网地址。
二、服务端配置：从安装、服务启动到防火墙放行
以 TightVNC 为例，先下载适合当前 Windows 版本的安装包，运行后选择自定义安装。默认安装目录为 C:\Program Files\TightVNC，如果系统盘空间紧张也可以改到其他盘，但建议保留默认路径以方便后续排查。安装过程中勾选 VNC Server 组件，并设置一个访问密码。这个密码用于客户端连接认证，至少设置 8 位以上，避免使用常见弱口令。安装完成后，任务栏右下角会出现 VNC 图标，右键进入配置界面可以重新设置密码和监听端口。
net start tvnserver sc query tvnserver
接下来要确认服务是否正常运行。可以打开运行窗口输入 services.msc，在服务列表中找到 TightVNC Server，将启动类型改为自动。如果服务没有启动，也可以用上面的 net start tvnserver 命令手动拉起。服务启动后，VNC Server 会在本机监听 5900 端口，但此时客户端通常还连不上，因为 Windows Defender 防火墙会拦截外部入站连接。
Windows 防火墙是 VNC 配置中最容易被忽略的一步。可以通过命令行放行 5900 端口，命令如下：
netsh advfirewall firewall add rule name="VNC Server 5900" dir=in action=allow protocol=TCP localport=5900 netsh advfirewall firewall add rule name="VNC Viewer 5800" dir=in action=allow protocol=TCP localport=5800
如果更习惯图形界面，也可以进入控制面板里的 Windows Defender 防火墙，打开高级设置，新建入站规则，选择端口并指定 TCP 5900。完成放行后，可以用 netstat -ano | findstr 5900 验证端口是否处于监听状态。TightVNC 的配置信息主要存放在注册表 HKEY_LOCAL_MACHINE\SOFTWARE\TightVNC\Server 路径下，但没有必要手工修改注册表，托盘图标提供的设置界面会更安全。RealVNC 对应的注册表路径为 HKEY_LOCAL_MACHINE\SOFTWARE\RealVNC\VNC Server，思路一致。
三、客户端连接远程电脑的完整流程
在启动客户端之前，先在远程电脑上查询当前 IP 地址。打开命令提示符，执行 ipconfig，找到 IPv4 地址，例如 192.168.1.50。如果同一路由器下有多个设备，建议顺便执行 ping -a 192.168.1.50 反向确认主机名，避免填错地址。客户端和远程电脑处于同一局域网时，可以直接使用这个内网 IP 建立连接。
ipconfig | findstr /C:"IPv4" ping -a 192.168.1.50
在本机打开 TightVNC Viewer，输入远程 IP 即可，默认端口 5900 可以省略，也可以显式写成 192.168.1.50:5900。点击连接后输入安装时设置的访问密码，密码不会在输入框中显示，这是正常现象。校验通过后即可看到远程桌面。如果画面卡顿，可以在客户端选项中把色彩级别调低，或者在服务端关闭远程电脑的桌面壁纸和动画效果，能明显改善传输速度。
跨网段连接时，仅用内网 IP 不可行。例如远程电脑在家里，客户端在公司，需要在家庭路由器上把外部 5900 端口映射到内网电脑的 5900 端口，同时家庭网络需要有公网 IP。更安全的做法是先建立 WireGuard 或 OpenVPN 隧道，客户端拨入后直接使用远程电脑的内网地址进行连接。不要长期把 VNC 端口直接暴露在公网，否则很容易被扫描爆破。
四、常见故障排查与安全加固
遇到客户端无法连接时，优先确认端口是否可达。先在远程电脑上执行 netstat -ano | findstr 5900，确认 VNC Server 正在监听；再到客户端执行 telnet 192.168.1.50 5900 测试 TCP 连通性。如果 telnet 失败，基本可以定位为防火墙或路由器问题。检查 Windows 防火墙入站规则是否生效、规则里端口是否写错、以及远程电脑的网络类型是否被误设置为公用网络。
netstat -ano | findstr 5900 telnet 192.168.1.50 5900
黑屏或灰屏是 VNC 连接成功后的另一类高频故障。常见原因是远程电脑锁屏、快速切换用户或注销后，VNC Server 无法继续捕获屏幕。需要保持远程电脑处于登录状态，并关闭快速用户切换。部分独立显卡驱动会干扰屏幕捕获，可以尝试在服务端把捕获模式调整为 Poll Full Screen，或降低硬件加速。如果远程电脑需要长期无人值守，建议安装虚拟显示器驱动，让系统始终认为存在活动显示器。
安全方面，VNC 默认的密码认证并不加密数据流，同一局域网内的嗅探工具可能截获画面内容。如果必须在不可信网络中使用，建议把默认 5900 端口修改为 15900 或其他非常用端口，并设置高强度访问密码。TightVNC 可以配置 IP 限制，只允许指定来源地址连接；UltraVNC 可以通过 AES 插件加密；RealVNC 的部分版本原生支持加密。综合来看，最稳妥的方式仍然是让 VNC 只运行在 VPN 隧道内部，通过内网地址访问，既保留连接便利性，又避免直接暴露给公网。