visualizador remoto do virt-manager: falha ao conectar através do túnel SSH com "cabeçalho de link incompleto (-104/16)

Question

Eu tenho um servidor rodando libvirtdcom domínios QEMU/KVM. Gostaria de acessá-lo virt-managerde uma máquina remota, para a qual abro um túnel SSH e encaminho uma porta TCP ( libvirtdestá escutando em uma porta TCP local). Então, o virt-manager é capaz de se conectar ao soquete local com virt-manager -c qemu+tcp://host:port/system.

Infelizmente, virt-managernão está usando sua própria conexão para tunelamento através de sessões Spice/VNC, mas tenta abrir novas conexões de forma independente, para o soquete aberto pelo QEMU para cada convidado; está fadado a isso, localhostentão não há sorte. Consigo obter o número da porta com virsh domdisplay, encapsular também via SSH e usar o visualizador diretamente na remote-viewer spice://host:portsintaxe para abrir a sessão manualmente.

Ele se conecta e falha com:

(remote-viewer:16039): GSpice-WARNING **: 02:25:56.856: incomplete link header (-104/16)

O que esse erro poderia significar? O que estou fazendo de errado aqui?
Como me conecto corretamente a uma sessão remota do QEMU Spice por meio de um túnel SSH?

Ao pesquisar o erro no Google, encontrei dicas de que isso pode estar relacionado às portas TLS na conexão, seja lá o que isso signifique especificamente. Tentando atenuar isso, adicionei defaultMode="insecure"o <graphics/>elemento de configuração do domínio, mas isso mudou de outra forma. Exemplo de XML de domínio QEMU:

<graphics type="spice" port="5995" autoport="no" listen="127.0.0.1" defaultMode="insecure">
  <listen type="address" />
</graphics>

Atualização: já tentei várias outras coisas: iniciei x11spiceno host e tentei conectar nele; também tentei conectar-me a partir de uma versão do Windows do remote-viewer. Resultado: a versão do Linux apresentou o mesmo erro de “cabeçalho de link incompleto” que ocorre ao conectar-se a uma VM convidada; A versão do Windows apresentou um erro semelhante, mas os números entre parênteses são diferentes.

O que me faz pensar. O SPICE consegue se conectar quando o cliente e o servidor são de construções diferentes? Algum problema conhecido com isso, talvez?