VNC Viewer 访问被拒——Access denied 认证失败与权限不足排查

错误长什么样

VNC Viewer 弹窗提示：

Access to the VNC server has been denied Please log in to connect

或者：

Authentication failed

这种错误表示 Viewer 成功连到了 Server（TCP 通了），但认证没通过——跟 "Connection refused" 相反。

原因一：设备密码输错

最常见。排查：

• 确认你输的是 VNC Device Password，不是 RealVNC 账号密码、也不是远程设备的系统登录密码——这三者是不同的
• 远程设备上重新设一遍密码：
• Windows / macOS：RealVNC Server 右键 → Options → Security → Configure VNC password
• Linux / Raspberry Pi：sudo vncpasswd
• 设完密码后重新连接测试

原因二：认证方案不匹配

RealVNC Server 可以配置多层认证（见 多因素认证）：

• 如果 Server 端配置的是 DevicePassword + SystemAuth（两层）→ Viewer 端需要先输设备密码 → 再输远程设备的系统账号+密码
• 如果只输了设备密码 → 第二层认证没过 → Access denied

排查：远程设备打开 RealVNC Server → Options → Security → Authentication 字段 → 看它配置了几层

原因三：System Authentication 用户名/密码错

如果 Server 端用的是 SystemAuth 认证（远程设备的系统账号）：

• 确认用户名是远程设备上实际存在的（Windows 的本地管理员、Linux 的 pi 用户）
• 确认密码是系统登录密码（不是 VNC Device Password！）
• Linux 上 sudo cat /etc/passwd | grep <用户名> 确认用户存在
• 如果远程设备是域控（Windows AD / Linux SSSD），确认 Viewer 输入的用户名格式正确（可能需要加域名前缀 DOMAIN\user 或 user@domain）

原因四：MFA 配置叠加了额外认证

如果 Server 端配置了：

• DevicePassword + SystemAuth + Duo → 需要手机上输 Duo Push
• DevicePassword + SystemAuth + RADIUS → 需要 RADIUS token
• Certificate + SystemAuth → 需要 SmartCard 插 Viewer 端

如果 Viewer 端没有完成 MFA 的最后一步 → 即使前面密码对了也会 Access denied。

原因五：Viewer 用的是第三方 Server 但没订阅

RealVNC Viewer 连接第三方 VNC Server（TigerVNC、TightVNC、x11vnc 等）需要付费订阅——否则会报 Access denied。

如果你装的是 RealVNC Viewer 但远程设备跑的是免费开源 VNC Server：

• 方案 A：订阅 RealVNC Connect Essentials 档
• 方案 B：把 Viewer 换成免费的 TigerVNC Viewer / TightVNC Viewer

原因六：设备时间不同步

Rare 但会发生——如果 Viewer 端的系统时间跟远程设备差了好几分钟，带时间戳的认证方案（TOTP、Kerberos）可能失败。

排查：Viewer 和远程设备上分别跑 date（Linux）或 time 命令对比时间 → 差超过 5 分钟就手动同步一下 NTP。

原因七：权限被撤销

如果你的 RealVNC 团队 owner 把你从团队里移除了、或者把远程设备的权限改成只读/不可见 → 你会突然无法连接 Cloud 里的设备。

排查：

1. 看 RealVNC Viewer 主界面 → Team List 里这台设备还在不在？
2. 如果设备还在但点不开 → 权限可能被降到 View Only 以下
3. 找团队 owner 确认你的权限

快速排查流程

1. 确认输的是 VNC Device Password（不是 RealVNC 账号密码、不是系统密码）
2. 远程设备 RealVNC Server Options → Security → 看 Authentication 配置了几层，逐层核对
3. 如果是 SystemAuth → 确认远程设备上该用户名实际存在 + 密码正确
4. 如果有 Duo / RADIUS / SmartCard → 确认最后一步 MFA 完成
5. 时间同步（差 > 5 分钟就手动 NTP）
6. 确认 Viewer 不是在用免费版连第三方 Server
7. 团队 owner 确认权限没被撤销

终极方案：重置密码

如果真的忘了所有密码、也找不到团队 owner 确认权限：

1. 远程设备上重装 RealVNC Server → 会重新要求设置 VNC Device Password
2. 或者卸载 RealVNC Server → 换用其他免费 VNC Server（TigerVNC）+ 免费 Viewer