虚拟机终止ping要分两种场景：停止正在运行的ping命令，用Ctrl+C或kill；禁止虚拟机响应ping，要修改Linux内核参数或Windows防火墙规则；网络不通时先查IP、网关、防火墙和虚拟化网络模式。
先分清两种“终止ping”：停命令还是禁响应
很多人搜“虚拟机终止ping”，第一步就搞错了对象，ping是双向ICMP行为：虚拟机主动发出echo request，或者被动回应echo request,终止ping因此有两条完全不同的路径。
- 场景A：ping命令在虚拟机内部一直跑，屏幕刷个不停,想让它停下来。
- 场景B：别人从宿主机、外网或同网段设备ping这台虚拟机，虚拟机一直回应,想禁止被探测。
停止正在运行的ping命令
Linux终端里，前台ping直接按 Ctrl+C，发送SIGINT信号，进程会立即退出，如果ping被放到后台，例如使用ping 192.168.1.1 &启动，可以输入jobs查看后台任务编号，再用kill %1终止，更粗暴的办法是pkill ping或killall ping,但注意别误伤其他用户的ping进程。
Windows虚拟机中，前台ping同样用 Ctrl+C，如果ping窗口卡死，可以打开任务管理器找到 PING.EXE 进程结束，或在命令行执行taskkill /IM PING.EXE /F。
虚拟机怎么禁止ping：Linux内核参数与防火墙策略
Linux虚拟机禁止被ping，主流做法有两种：改内核参数，或者改防火墙规则，内核参数只影响ICMP回显请求，不会影响其他TCP/UDP业务。
临时禁止：一条sysctl命令
执行下面这条命令，立即生效,重启后失效。
sysctl -w net.ipv4.icmp_echo_ignore_all=1
执行后，外部ping这台虚拟机，会显示请求超时或目标不可达,虚拟机自己发起的ping不受影响。
永久禁止：写入sysctl配置文件
编辑配置文件。
vi /etc/sysctl.conf
添加一行。
net.ipv4.icmp_echo_ignore_all=1
保存后执行。
sysctl -p
这条命令让配置立即生效，以后重启虚拟机,配置仍然保留。
firewalld与iptables两种做法
CentOS、Rocky Linux常用firewalld。
firewall-cmd --permanent --add-icmp-block=echo-request firewall-cmd --reload
移除禁止规则。
firewall-cmd --permanent --remove-icmp-block=echo-request firewall-cmd --reload
Ubuntu、Debian常用iptables或ufw。
iptables -A INPUT -p icmp --icmp-type echo-request -j DROP
保存iptables规则,不同发行版路径略有差异。
iptables-save > /etc/iptables/rules.v4
行业共识认为，禁止ping不等于提高安全性，多数生产环境会保留内网ICMP，方便监控和故障探测，只有面向公网的云主机,才建议默认禁ping。
恢复被禁止的ping
Linux要恢复响应,把内核参数改回0。
sysctl -w net.ipv4.icmp_echo_ignore_all=0
或删除防火墙ICMP阻止规则。
firewall-cmd --permanent --remove-icmp-block=echo-request firewall-cmd --reload
Windows虚拟机怎么终止响应ping：防火墙入站规则
Windows虚拟机默认是否响应ping，取决于防火墙配置文件，多数情况下，相同网段的探测会被允许,但公网或不同网段可能被阻止。
图形界面操作路径
- 打开“高级安全 Windows Defender 防火墙”。
- 左侧选择“入站规则”。
- 右侧点击“新建规则”。
- 规则类型选择“自定义”。
- 协议类型选择“ICMPv4”。
- 操作选择“阻止连接”。
- 配置文件默认全部勾选。
- 名称填写“Block ICMPv4-In”,完成。
规则生效后，外部ping这台Windows虚拟机,会直接超时。
PowerShell一条命令阻止ICMPv4
以管理员身份运行PowerShell。
New-NetFirewallRule -DisplayName "Block ICMPv4-In" -Protocol ICMPv4 -IcmpType 8 -Action Block
启用或禁用已创建的规则。
Enable-NetFirewallRule -DisplayName "Block ICMPv4-In" Disable-NetFirewallRule -DisplayName "Block ICMPv4-In"
恢复ping响应
删除该入站规则，或将其操作改为“允许连接”，如果只想允许特定IP ping，可以修改规则的“作用域”里的远程IP地址列表。
虚拟机ping不通宿主机怎么解决：四层排查路径
虚拟机ping不通宿主机，问题多数不在“终止ping”这个动作本身，而在网络链路配置，按下面顺序排错,比反复重启虚拟机和宿主机快。
第一层：查虚拟机IP
- Linux执行
ip addr show或ifconfig。 - Windows执行
ipconfig /all。
如果IP是169.254.x.x，说明没获取到DHCP地址，先检查虚拟机网络适配器是否启用,再看虚拟化平台的DHCP服务是否正常。
第二层：查宿主机虚拟网卡网段
VMware Workstation常见虚拟网卡有VMnet8对应NAT模式，VMnet1对应仅主机模式,宿主机虚拟网卡IP必须和虚拟机同网段。
例如虚拟机IP是192.168.10.128，宿主机VMnet8应该是192.168.10.1，两者不在同一网段,ping自然不通。
第三层：临时关掉虚拟机内部防火墙
- Linux：
systemctl stop firewalld，Ubuntu执行ufw disable。 - Windows：临时关闭域、专用、公用防火墙。
关闭后重新测试，如果通了，说明防火墙拦截了ICMP,需要放行ICMP或调整入站规则。
第四层：看虚拟化网络模式
NAT模式下，虚拟机可以ping通宿主机，但宿主机默认不一定能ping通虚拟机，因为NAT做了地址转换，桥接模式下，双方等同于同一局域网主机，仅主机模式，虚拟机与宿主机可以互通,但不能访问外网。
VMware虚拟机ping不通外网时优先检查默认网关和DNS
VMware虚拟机ping不通外网，但能ping通宿主机，这种场景很常见，别急着去终止ping或重装系统,先看路由和DNS。
默认网关是否指向NAT网关
- Linux执行
ip route show，默认路由应指向NAT网关，例如192.168.10.2。 - Windows执行
route print，看0.0.0.0的下一跳。
没有默认网关,手动添加。
ip route add default via 192.168.10.2
NAT网关地址可以在VMware“虚拟网络编辑器”中查看。
DNS是否配置正确
- ping IP能通，但ping域名不通,是DNS问题。
- Linux修改
/etc/resolv.conf,Windows修改网络适配器IPv4设置。 - NAT模式下，DNS常由虚拟网络编辑器自动分配,不要乱填。
公共DNS可以临时设置为223.5.5.5、119.29.29.29等国内公共DNS。
宿主机本身网络状态
宿主机自己断网，虚拟机NAT出去也不可能通，先恢复宿主机上网，再测虚拟机，虚拟机ping不通外网时，可以在宿主机执行ping 8.8.8.8确认外部网络是否正常。
虚拟化平台网络模式对比：ping行为差异
| 网络模式 | 虚拟机ping宿主机 | 宿主机ping虚拟机 | 虚拟机ping外网 | 典型场景 |
|---|---|---|---|---|
| 桥接 | 通常通 | 通常通 | 通 | 模拟真实局域网 |
| NAT | 通 | 默认不通，需端口转发 | 通 | 共享宿主机IP上网 |
| 仅主机 | 通 | 通 | 不通 | 隔离测试环境 |
这张表可以快速判断该用哪种模式，想完全隔离，选仅主机；想上网又不想暴露虚拟机，选NAT；想让虚拟机像物理机一样接入局域网,选桥接。
国内云服务器场景：安全组与系统防火墙双层放行
国内云服务器多数情况下默认禁止公网ping，很多人遇到“云服务器ping不通公网IP”，以为是系统故障,其实是云平台安全组拦截。
云平台安全组放行ICMP
登录云控制台，进入实例详情，找到安全组配置,添加入方向规则。
- 协议类型选择ICMP。
- 端口范围不用填。
- 来源可设为0.0.0.0/0,或限定特定IP段。
- 保存规则。
不同云厂商入口略有差异，但都叫“安全组”或“防火墙规则”，放行后,公网ping云服务器通常就能通。
操作系统内放行ICMP
安全组放行后，系统防火墙还要允许ICMP，Linux可以临时关闭firewalld测试,Windows需在防火墙入站规则里允许ICMPv4。
地域差异与默认禁ping策略
国内地域云服务器默认禁ping，是平台网络策略的一部分，如果需要排查网络时临时开放，用安全组放行即可，不用去改系统内核参数,因为双层的ICMP过滤很可能让你误判问题。
快速操作速查表
- 终止Linux ping：
Ctrl+C、pkill ping、kill %1 - 终止Windows ping：
Ctrl+C、taskkill /IM PING.EXE /F - 临时禁止Linux被ping：
sysctl -w net.ipv4.icmp_echo_ignore_all=1 - 永久禁止Linux被ping：写入
/etc/sysctl.conf后执行sysctl -p - 恢复Linux被ping：
sysctl -w net.ipv4.icmp_echo_ignore_all=0 - Windows阻止ICMP：
New-NetFirewallRule -DisplayName "Block ICMPv4-In" -Protocol ICMPv4 -IcmpType 8 -Action Block - 测试连通性：Linux用
ping -c 4 IP，Windows用ping -n 4 IP
虚拟机终止ping不是玄学，先判断你是停命令，还是禁响应，禁响应改内核参数或防火墙，停命令用Ctrl+C或kill，网络不通时按IP、网关、防火墙、虚拟化网络模式四层排查,多数问题出在虚拟网卡网段和防火墙规则。
Q&A
虚拟机终止ping命令有哪些？
Linux下前台ping用Ctrl+C；后台ping用jobs找到编号后执行kill %编号，或直接pkill ping，Windows下用Ctrl+C，或执行taskkill /IM PING.EXE /F，如果要禁止虚拟机被ping，Linux改net.ipv4.icmp_echo_ignore_all参数,Windows在防火墙入站规则中阻止ICMPv4。
虚拟机禁止被ping后还能正常上网吗？
能，ICMP回显请求被阻止，只影响别人探测你，不影响虚拟机主动发起的TCP/UDP连接，浏览网页、下载文件、SSH远程登录、数据库连接都正常,只是外部无法通过ping判断虚拟机是否在线。
虚拟机ping不通宿主机但宿主机能ping虚拟机是什么原因？
多半是虚拟机内部防火墙拦截ICMP回显请求，先临时关闭虚拟机内部防火墙测试，如果通了，放行ICMP或调整入站规则，也有可能是虚拟机IP与宿主机虚拟网卡不在同一网段,导致单向不通。
国内云服务器ping不通公网IP怎么解决？
先在云平台安全组入方向添加ICMP放行规则，再检查操作系统内部防火墙是否允许ICMP，双层放行后，公网ping通常能通，国内云服务器默认禁ping,不是系统故障。
首发原创文章，作者：王坚，如若转载，请注明出处：https://idctop.com/%e8%99%9a%e6%8b%9f%e6%9c%ba%e7%bb%88%e6%ad%a2ping%e5%91%bd%e4%bb%a4%e5%a6%82%e4%bd%95%e6%93%8d%e4%bd%9c%ef%bc%9f%ef%bc%8c%e8%99%9a%e6%8b%9f%e6%9c%baping%e4%b8%8d%e9%80%9a%e6%80%8e%e4%b9%88%e8%a7%a3/
