虚拟机NAT模式下，默认只能让虚拟机主动访问外网，外部设备想直接访问虚拟机里的服务，必须先配置端口转发。这篇文章会把NAT模式的外网访问原理、设置步骤和常见问题讲透,让你少走弯路。
NAT模式是怎么让虚拟机“溜出去”上外网的
NAT全称是Network Address Translation，也就是网络地址转换，在VMware或VirtualBox里，NAT模式相当于给虚拟机造了一个私有小网,所有流量都借宿主机的外网出口发出去。
用一句话概括：虚拟机不直接拥有公网IP，它就像一个藏在宿主机身后的员工,所有对外请求都靠宿主机代劳。
具体过程是这样的：
- 虚拟机和宿主机之间有一条虚拟网卡链路，例如VMware默认的VMnet8网段是192.168.80.0/24。
- 虚拟机发出的数据包先到达宿主机上的NAT服务。
- NAT服务把数据包的源IP从虚拟机的私有IP改成宿主机的IP,再发往公网。
- 外网的响应数据回来时，NAT服务再把目标IP改回虚拟机的IP,完成整个回程。
所以只要宿主机能上网，虚拟机基本就能上网,这也是NAT模式多年来一直稳定好用的原因。
虚拟机NAT模式外网访问设置的常见路径
在VMware Workstation里，选中虚拟机右键打开“设置”，在“网络适配器”里勾选“NAT模式”，然后确保宿主机的VMware NAT Service服务正在运行，在VirtualBox中，打开虚拟机的“设置-网络”，把连接方式改为“NAT”即可。
虚拟机内部通常不用手动配置IP，只要DHCP开着，虚拟机会自动获取私有IP，网关指向虚拟网卡地址，设置完成后，在虚拟机里ping 8.8.8.8就能验证网络是否通。
如果你遇到“虚拟机NAT模式外网访问不了”的情况，优先检查两件事：宿主机是否正常联网，NAT服务是否被禁用或停止，Windows下可以打开服务管理器找到VMware NAT Service,把它手动启动并设为自动。
外网访问虚拟机内的服务，核心是端口转发
NAT模式是一条单向通道，虚拟机可以出去，外部却进不来，原因很简单：外部网络只知道宿主机IP,并不知道虚拟机这个私有IP存在。
要让外部设备访问虚拟机内的Web服务、SSH或数据库，必须在宿主机上设置端口转发，端口转发就像在宿主机墙上开一扇门，访问宿主机某个端口时,直接把你带到虚拟机对应的端口。
VirtualBox和VMware端口转发教程
VirtualBox设置方法：
- 选择目标虚拟机，点击“设置-网络”。
- 连接方式选择“NAT”，点击“高级”，打开“端口转发”。
- 添加一条规则，协议选TCP，主机端口填8080，子系统端口填80,子系统IP填虚拟机的IP。
- 保存后，外部访问宿主机IP的8080端口,就会自动跳转到虚拟机的80端口。
VMware设置方法：
- 打开“编辑-虚拟网络编辑器”,选中VMnet8网卡。
- 点击“NAT设置”，找到“端口转发”区域。
- 添加规则，填写宿主机端口、虚拟机IP和虚拟机端口。
- 保存后，规则立即生效,不需要重启虚拟机。
注意一点：端口转发里的虚拟机IP必须固定，虚拟机换IP后，老规则会失效，所以建议先在虚拟机系统里配置静态IP,或者利用DHCP地址保留功能。
NAT模式和桥接模式哪个好
这是每次聊到虚拟机上网时都会碰到的选择,下面这张表能帮你快速判断。
| 对比项 | NAT模式 | 桥接模式 |
|---|---|---|
| 外部访问虚拟机 | 需要端口转发 | 直接访问虚拟机IP |
| IP分配 | 私有网段，不占用局域网IP | 占用局域网真实IP |
| 安全性 | 更高，外部无法直接发现虚拟机 | 较低，虚拟机完全暴露在局域网 |
| 配置复杂度 | 简单，几乎开箱即用 | 相对复杂，容易和宿主机抢IP |
| 适用场景 | 日常开发、办公、临时测试 | 对外提供服务、需要固定局域网IP的应用 |
行业共识认为，日常办公和实验环境用NAT足够，省事又安全，如果虚拟机要长期对外提供服务，又不想被端口转发限制，桥接模式会更直接，但桥接模式下，虚拟机相当于局域网里的一台独立主机,网络冲突和防火墙问题会更频繁。
外网访问失败时的排查方向
很多人在配置完端口转发后，还是访问不了虚拟机，这时候问题往往出在防火墙上,或者运营商屏蔽了特定端口。
宿主机防火墙的入站规则放行
Windows宿主机默认会拦截入站端口，你需要手动放行端口，路径是：控制面板-系统和安全-Windows Defender防火墙-高级设置-入站规则-新建规则，规则类型选择“端口”，填入之前配置的宿主端口，例如8080，然后选择“允许连接”。
这里有个重要提醒：不要为了方便直接关闭宿主机防火墙，关了防火墙确实能打通访问，但也会把系统暴露给公网，风险很大,正确做法是精准放行某一个端口。
虚拟机内部防火墙的端口放行
外部流量虽然到了虚拟机，但虚拟机自己的防火墙也可能拦截请求，以CentOS为例,执行：
- firewall-cmd –permanent –add-port=80/tcp
- firewall-cmd –reload
Windows虚拟机则在“高级安全Windows Defender防火墙”中新建入站规则，允许TCP 80端口访问，这一步做完，内外两侧防火墙都放行,端口转发才会稳定生效。
静态IP是端口转发稳定的前提
端口转发规则里的虚拟机IP，必须和虚拟机当前IP完全一致，否则流量进到宿主机后，找不到目标虚拟机，访问自然会失败，建议在虚拟机系统内手动设置静态IP，例如把IP固定为192.168.80.100，网关设为192.168.80.1，DNS可以填8.8.8.8和114.114.114.114。
验证NAT模式和端口转发是否成功
配置完成后，不要只凭感觉判断,可以用下面几步来验证：
- 虚拟机内访问外网：执行ping 8.8.8.8，或者curl http://www.baidu.com,确认虚拟机本身能上网。
- 宿主机检查端口监听：在宿主机命令行输入netstat -ano | findstr :8080,查看端口是否处于监听状态。
- 外部设备访问测试：从另一台电脑打开浏览器，输入http://宿主机IP:8080,看能否访问虚拟机内的服务。
- 如果外部设备无法访问，但宿主机本机可以,说明问题主要集中在防火墙或运营商封端口。
运营商对80和443端口的限制比较常见，尤其是家庭宽带，遇到这种情况，可以换成高端口，比如8080、9000等,这通常能规避封禁。
关于虚拟机NAT模式外网访问的常见疑问
为什么NAT模式下虚拟机能够上网，别的电脑却访问不了虚拟机？
因为NAT模式把虚拟机的IP地址隐藏在了宿主机的私有网络后面，外部设备只能看到宿主机IP，没有端口转发时根本不知道虚拟机的存在，只有添加了端口转发规则,外部请求才能被准确引导到虚拟机内部。
NAT模式下端口转发已经配置好了，外网还是访问不了，可能是什么原因？
优先检查三处：宿主机防火墙的入站端口是否放行，虚拟机防火墙是否放行同一端口，虚拟机IP是否与端口转发规则中的目标IP一致，如果这三项都正常，再排查运营商是否屏蔽了当前端口，或者宿主机本身处于内网环境中,没有真正的公网IP。
除了端口转发，还有哪些方案能让外网直接访问虚拟机？
可以使用桥接模式，让虚拟机直接获取一个局域网IP，外部设备就能直接访问，对于没有公网IP的环境，可以用frp、ngrok这类内网穿透工具，把虚拟机的服务映射到一台公网服务器上，这些方案各有优缺点，桥接模式依赖局域网环境,内网穿透则依赖公网服务器的稳定性和带宽。
首发原创文章，作者：王坚，如若转载，请注明出处：https://idctop.com/article/732458.html
