VNC verschlüsselung

Moin,

Bei uns werden die Windows Clients per VNC Ferngewartet, soweit sogut, aber plaintext > Ziel wäre es also vnc zu verschlüsseln.

Ich schaue mir gerade TigerVNC an, das mit TLS und X509 arbeitet.
Das ist an sich ganz nice, nur ist es so das bei VNC ja der, der ferngewartet werden soll, der "Server" ist - was bei X509 bedeutet: Ich müsste jedem Server einen eigenen KEY + CRT geben mit seinem Hostnamen - diese jeweils von einem Zentralen CA signiert.

Das könnte man halbwegs automatisiert machen initial, aber wenn man dann Hostnamen ändert o.ä. muss man immer einen neuen CSR stellen und den neuen CRT signieren mit dem haupt CA usw. - also geführt zuviel aufwand für einfache Fernwartung.

Es gebe noch die möglichkeit "anonymes TLS" zu machen, aber das hilft nicht gegen Man in the Middles, also wäre das nur ein zu kleiner Forschritt gegenüber unverschlüsselt.

Daher die Frage:
Kann man VNC Verschlüsselung "easy to have" haben?

MFG
N-Dude