远程桌面的第二个会话
5901 遵循远程桌面服务的端口规则：基础端口加上显示号，等于实际监听端口，因此 5901 对应显示号 1。同一台主机上启动多个会话时，它们各自占用相邻端口，显示号不同，桌面内容也完全不同。它常被用作远程维护的入口，也常被当作安全事件的目标，因为它传输的桌面内容若不加密，同网段可直接观察。
基本信息
| 服务 | 远程桌面服务的第二个显示会话 |
|---|---|
| 协议 | TCP 5901（基础端口 5900 加显示号） |
| 用途 | 多用户或多桌面会话的远程访问 |
| 会话查看 | 服务端自带列出会话的命令 |
| 暴露要求 | 仅运维网段；建议经隧道访问 |
典型使用场景
- 多会话运维：主会话占用基础端口，新会话自动使用相邻端口
- 远程支持：为特定用户开启独立桌面会话
- 排障：连接后看到的是另一个桌面，说明显示号选错
- 安全核对：确认未加密服务只在管理网段可达
- 策略评估：判断是否需要把访问统一改为隧道方式
显示号与端口
| 显示号 | 端口 | 典型用途 |
|---|---|---|
| 0 | 5900 | 默认会话，第一个启动的桌面 |
| 1 | 5901 | 第二个会话或多用户场景 |
| 2 | 5902 | 继续顺延，按启动顺序分配 |
会话与端口核对
会话与端口核对
# 列出所有相关端口监听
ss -lntp | grep 590
# 查看服务端已启动的会话（以常见实现为例）
vncserver -list
# 通过隧道访问，避免端口直接对外
ssh -L 5901:127.0.0.1:5901 user@srv会话与显示号的绑定关系取决于启动顺序，而不是用户名：脚本里写死端口号时，很可能连到别人的桌面。可靠的做法是按会话名称查询实际端口，再建立连接。
未加密的远程桌面服务会明文传输屏幕内容与键盘输入：口令与敏感信息都可能被同网段观察。对外访问应使用加密的远程访问方式或先建立加密隧道，并配置强口令与会话锁屏。
加固要点
- 限制来源网段，禁止对公网开放
- 远程访问优先经加密隧道
- 为每个会话设置独立强口令并定期更换
- 会话闲置超时自动断开