外观
SPICE、RDP 与 noVNC 的取舍
打开一台虚拟机的「桌面」，PVE 里至少有三种不同的路：内置的 noVNC 控制台、SPICE 协议、以及客户机自己的远程桌面服务（RDP 或 Linux 下的等价物）。它们不是互斥的——装系统用 noVNC，日常用用 SPICE 或 RDP是常见组合。这篇帮你搞清楚该在什么场景用哪个。
真正需要显卡加速、接近本地游戏/创作体验的场景，这三种都不够看，见带显卡的远程桌面虚拟机。
三种方式速览
| 方式 | 延迟/画质 | 需要额外安装什么 | 典型用途 |
|---|---|---|---|
| noVNC（PVE 内置控制台） | 差，键盘鼠标体验一般 | 无，浏览器打开就能用 | 装系统、应急排障、虚拟机没网络时唯一的入口 |
| SPICE | 中等，比 noVNC 明显好，支持剪贴板、多显示器、USB 重定向 | 本地装 virt-viewer/SPICE 客户端；客户机装 spice-vdagent（或 Windows 下的 QEMU Guest Agent 附带工具） | 日常轻度使用，尤其是需要从本地设备重定向 USB 的场景 |
| RDP（客户机内的远程桌面服务） | 好，微软/开源实现都做过大量优化 | Windows 内置（需要支持的版本）；Linux 装 xrdp 等第三方实现 | 日常办公、性能优先的场景，前提是客户机网络配置好 |
装系统时永远先用 noVNC
不管最终打算用哪种方式，创建虚拟机、装系统这个阶段都用 noVNC——这时候客户机操作系统还没起来，也没有网络，SPICE agent 和 RDP 服务都用不了。装完系统再切换。
noVNC：内置的应急入口
PVE 的 Console 按钮打开的就是 noVNC，走的是浏览器到宿主机的连接，不依赖客户机网络。
优点：什么都不用装，客户机断网了还能用（这也是为什么排查软路由、OPNsense 这类虚拟机失联问题时经常要用它）。
缺点：键盘鼠标体验一般（尤其是某些布局或组合键容易吃掉），不支持剪贴板同步，分辨率通常固定。
SPICE：为虚拟化设计的协议
SPICE 是专门为虚拟化场景设计的远程显示协议，比 noVNC 的体验好不少：支持动态分辨率、剪贴板同步、音频、以及把本地的 USB 设备重定向进虚拟机。
开启方式：虚拟机 → Hardware → Display，把类型改成 SPICE 相关选项（具体菜单名称以你的 PVE 版本界面为准）。改完需要重启虚拟机生效。
客户机侧：
- Linux 客户机：安装
spice-vdagent，让剪贴板同步和自动分辨率调整生效。 - Windows 客户机：VirtIO 驱动与 QEMU Guest Agent里的驱动包通常包含 SPICE 相关组件。
本地电脑侧：需要装支持 SPICE 的客户端（例如 virt-viewer），直接用浏览器打不开 SPICE 连接，这是它和 noVNC 最大的使用体验差异。
USB 重定向和 PCI 直通不是一回事
SPICE 的 USB 重定向是协议层面转发，把本地插着的 U 盘、打印机这类设备的数据转发给客户机，不需要 IOMMU，配置也简单得多。真正需要整个 PCI 设备（比如显卡）的场景才需要硬件直通。
RDP：性能最好，但只在客户机内部起作用
RDP（远程桌面协议）本身不是 PVE 提供的能力，是客户机操作系统自己的服务，PVE 只是负责把网络包路由过去。
| 客户机系统 | 怎么开 |
|---|---|
| Windows | 内置远程桌面服务，是否可用取决于具体版本（部分入门版本不提供远程桌面主机功能），以微软官方文档为准确认你的版本是否支持 |
| Linux | 没有原生 RDP 服务，常见做法是装第三方实现（如 xrdp），具体安装方式以对应发行版文档为准 |
开启之后，直接用系统自带的远程桌面客户端连接虚拟机的 IP 即可，不需要经过 PVE 的 Console。
RDP 依赖客户机自己的网络
和 SPICE/noVNC 不同，RDP 完全依赖客户机的网络配置。客户机断网、防火墙没放行对应端口，或者还没装好远程桌面服务，都连不上。这种情况下退回 noVNC 排查。
暴露风险：这些协议都不该直接对公网开放
不要把 noVNC、SPICE 或 RDP 直接暴露到公网
这三种协议的设计前提都是可信网络（局域网或已经加密认证过的隧道）：
- RDP 长期是互联网扫描和暴力破解的重灾区，历史上多次出现严重漏洞。直接把 3389 端口映射到公网，几乎等同于主动邀请攻击。
- SPICE 和 noVNC 的认证机制同样不是为公网直连设计的。
需要从外部访问时，正确的做法是先建一条私有的加密通道，再在通道内访问这些协议，而不是端口转发：
- 用 Tailscale 容器或其他 VPN 方案组一个私有网络。
- 或者通过安全地远程访问里介绍的其他方式。
如果已经把某个端口暴露到了公网：立刻在路由器上撤销对应的端口转发，这是最快的回退方式；然后再评估是否需要以及怎么安全地重新开放。
检查结果
- noVNC：PVE Console 能正常打开画面，鼠标键盘有响应。
- SPICE（如果启用）：本地客户端能连接，剪贴板在本地和客户机之间双向同步，插入一个 USB 设备能在客户机里重定向出现。
- RDP（如果启用）：用系统自带的远程桌面客户端能连接并登录，断开重连后会话状态符合预期（Windows 默认会保留或注销会话，取决于配置）。
- 分别测试一次「只用 noVNC 也能救回虚拟机」——临时把客户机网络断开，确认 noVNC 依然能连上做排障，这是它作为应急入口存在的意义。
常见问题
SPICE 客户端连不上。 确认虚拟机的 Display 类型确实改成了 SPICE 相关选项且已重启；确认本地电脑装的是支持 SPICE 的客户端而不是普通浏览器。
RDP 连接被拒绝。 检查客户机内的远程桌面服务是否已启用、客户机防火墙是否放行了对应端口、以及网络（网桥/VLAN）是否连通。
剪贴板同步不生效。 多数情况是客户机里没装对应的 agent（Linux 的 spice-vdagent，或 Windows 下没装全 VirtIO 驱动包），见VirtIO 驱动与 QEMU Guest Agent。
画面卡顿、延迟高。 先排除网络因素（局域网内测试）；真正需要低延迟高帧率的场景（游戏、视频剪辑），这几种协议都不是为此设计的，见带显卡的远程桌面虚拟机。