6080 是什么
6080 是把 VNC 搬进浏览器的惯例端口：noVNC 与 websockify 的组合默认监听 6080，用 WebSocket 把浏览器与后端 VNC 服务（通常 5900 起）桥接起来。OpenStack 的 novncproxy 也把控制台代理放在 6080，所以云平台里点开「实例控制台」时，流量往往就是经过这个端口。
基本信息
| 服务 | noVNC / websockify / OpenStack novncproxy |
|---|---|
| 端口/协议 | 6080（HTTP + WebSocket） |
| 后端 | VNC 服务，常见 5900 起 |
| 鉴权 | noVNC 自身不带认证，需 token 或反向代理鉴权 |
| 安全等级 | 仅运维网段可达 |
典型使用场景
- 云平台实例控制台：OpenStack 通过 novncproxy 提供浏览器内的串口/桌面访问
- 虚拟化实验室：KVM/QEMU 虚拟机桌面免装客户端即可访问
- 远程支持：需要让用户直接看屏幕而不方便装 VNC 客户端时
- 运维跳板：运维网段内统一入口给多台机器提供图形控制台
- 安全核查：确认没有把 6080 直接暴露到公网或办公网
探测与连接
探测与连接
curl -sI http://compute01:6080/vnc.html | head -3 # 是否有 noVNC 页面
ss -lntp | grep ':6080 ' # 本机监听与进程
websockify --web /usr/share/novnc 6080 localhost:5900 # 手动起一个桥接做验证
openssl s_client -connect compute01:6080 </dev/null 2>/dev/null | head -5 # 确认是否 TLS
journalctl -u novnc -n 20 2>/dev/null # 代理侧日志看连接与断开原因端口与角色
| 端口 | 角色 | 说明 |
|---|---|---|
| 6080 | WebSocket 代理 | 本条目，浏览器与 VNC 之间的桥接 |
| 5900+ | VNC 服务 | 每台虚拟机或桌面各占一个端口 |
| 443 | 反代入口 | 生产环境通常只暴露 443，由反代再转 6080 |
| — | token | OpenStack 场景下控制台 URL 携带一次性 token |
noVNC 页面本身不需要登录，保护它的责任在于外层的 token（OpenStack novncproxy 走 /vnc_lite.html?token=… 之类的一次性凭据）或反向代理的鉴权。没有这两层，6080 就等于对可达网段开放桌面。
排查「打开控制台白屏」的常见顺序：先 curl 看页面是否返回，再看 WebSocket 握手是否被中间设备阻断（很多代理不转发 Upgrade 头），最后才排查后端 VNC 是否在监听。
从暴露面角度，6080 与 5900 应当作为一个整体评估：只加固前端代理而后端 VNC 仍可直接连接，防护就是摆设。梳理时把每台虚拟机的 VNC 端口、对应代理入口与可访问网段三列对齐登记，才能看清真实可达路径。