装完系统第一次重启桌面右上角弹出一个灰色的地球图标点开写着网络连接激活失败或者终端里敲ifconfig只回了一个lo——这一场景我这些年少说遇到过上百次几乎每个刚接触 VMware 虚拟机的人都躲不过。大多数人第一反应是去改 DNS、去重装系统、去翻论坛找万能配置,结果折腾一下午。问题其实不在系统里而在 VMware 虚拟机 NAT 模式这套虚拟网络的分层设计上宿主机、VMware 的虚拟网络服务、虚拟机网卡三层里任何一层的配置没对上表现都是同一句含糊的网络连接激活失败。这篇内容我打算按真实动手的顺序讲一遍先弄清楚 NAT 模式在背后帮你做了哪些事再回到 VMware 的虚拟网络编辑器确认开关接着进客户机配置 IP、网关、DNS最后把主机访问虚拟机和NAT 端口转发这些实际场景补上。无论你装的是 Ubuntu、CentOS 还是其他 Linux 发行版只要理解了网段、网关、DHCP 这三件事的关系配置过程就是套公式。全文不涉及任何需要额外授权的操作都是 VMware Workstation 自带的功能。1. 从网络连接激活失败说起NAT模式到底替你干了什么1.1 三种网络模式的真实分工VMware Workstation 给的三个选项——桥接、NAT、仅主机很多人是随便挑一个点下去的。但从网络拓扑角度看它们的差别非常本质。桥接模式的做法是把虚拟机的网卡接到你宿主机所在的物理局域网上虚拟机会向你的路由器申请一个和宿主机同网段的 IP。它的好处是虚拟机和宿主机、和局域网里的其他设备完全平级别人能直接访问它代价是你要占一个真实网段的地址而且 IP 会随路由器 DHCP 租期变化在公司网络里还经常因为 MAC 白名单被拦。仅主机模式则是把虚拟机圈在一个只跟宿主机通信的小圈子里出不了外网适合做纯隔离的实验环境比如跑一些危险的样本分析或者纯净的数据库测试。NAT 模式介于两者之间VMware 在宿主机上虚拟出一块叫 VMnet8 的网卡再拉起一个虚拟的 DHCP 服务和 NAT 转发服务。虚拟机向这个虚拟 DHCP 要地址出网流量交给 NAT 服务做地址转换借用宿主机真实的网络出口。对宿主机所在的路由器来说它只看到宿主机一台设备在通信虚拟机完全隐身。一句话概括NAT 让虚拟机能上网、能被宿主机访问但局域网里的其他设备看不到它。这个特性对个人开发者来说几乎是最优解——不占用公司网段、不触发安全策略、换了 Wi-Fi 也不用改配置。模式虚拟机能否上外网宿主机能否访问虚拟机局域网其他设备能否访问虚拟机典型用途桥接能能能需要被同事访问的测试服务、工业设备联调NAT能能不能日常开发、学习、装各种环境仅主机不能能不能隔离实验、离线靶场1.2 NAT模式背后的三件套要把 NAT 配明白得先认识三个角色。第一个是VMnet8 虚拟网卡。它在你宿主机的网络连接里能看到Windows 下是一块带 VMware 字样的适配器它的 IP 通常是192.168.x.1这个角色。它的存在让宿主机和虚拟机之间有了一个物理上不存在的局域网。第二个是VMware DHCP 服务。它在虚拟机开机时分配一段地址默认从网段的.128往后分。你装完 Ubuntu 第一次开机就能自动拿到 IP靠的就是它。第三个是VMware NAT 服务。它负责把虚拟机发出的数据包伪装成宿主机发出的实现出网。同时它还负责端口转发——把宿主机的某个端口映射到虚拟机的某个端口这样你在宿主机浏览器里敲localhost:8080就能打开虚拟机里的 Web 服务。理解这三件事之后你会发现绝大多数网络连不上都能归类到一句话里地址、网关、DNS 三件套里有一件没对上。地址是 DHCP 给的还是你手写的网关是不是指向 VMnet8 的.2DNS 是不是被 systemd-resolved 接管了——顺着查基本都能收敛。注意不同机器上 VMnet8 的网段不一定是192.168.1.0。有人是192.168.88.0有人是192.168.190.0这是 VMware 安装时随机挑的永远以你虚拟网络编辑器里显示的为准不要照抄网上的教程。2. 动手之前在虚拟网络编辑器里先确认这几处2.1 还原默认设置这个按钮该不该点打开 VMware Workstation菜单栏编辑→虚拟网络编辑器如果这个窗口里大部分选项是灰的点右下角的更改设置会弹一次权限确认这是正常流程不是出错。很多人装完 VMware 之后装过好几个版本、卸载过又重装VMnet1 和 VMnet8 的状态可能已经乱了。这时候还原默认设置是最快的办法它会把虚拟网卡、DHCP、NAT 全部重置到出厂状态。代价是你之前设过的静态 IP 和端口转发都会没所以点之前先记一下有没有重要配置。还原之后重点看 VMnet8 这一行类型列必须显示NAT 模式外部连接一般选自动桥接或者你当前在用的物理网卡下面三个勾选项里将主机虚拟适配器连接到此网络必须勾上否则宿主机根本看不见虚拟机如果 VMnet8 的类型被改成了仅主机那虚拟机再好也上不了网。这个坑我在帮同事排查时碰到过两次都是因为装其他虚拟化软件时互相改了配置。2.2 子网IP、掩码和DHCP地址池的对应关系点VMnet 信息或者直接看下方区域你能看到子网 IP 和子网掩码比如192.168.88.0加255.255.255.0。往下翻有个NAT 设置按钮点开能看到网关 IP默认是192.168.88.2再回到主界面点DHCP 设置能看到起始和结束地址默认是192.168.88.128到192.168.88.254。这三个数字的关系必须记住网段192.168.88.0/24决定了虚拟机能用的地址范围是.1到.254网关192.168.88.2这是 NAT 服务的入口虚拟机里配的网关必须是它宿主机侧192.168.88.1这是 VMnet8 在宿主机上的地址用来从宿主机访问虚拟机DHCP 池.128到.254自动分配只会在这个区间内挑我自己的习惯是把 DHCP 池稍微改小一点比如改成.200到.254然后自己用.10到.100这一段做静态 IP。这样做的原因是如果静态 IP 落在 DHCP 池里某天虚拟机的 DHCP 租约释放后可能把同一个地址分给另一台虚拟机两边打架。这个冲突排查起来极其费时间因为两边都能通一会儿、断一会儿。2.3 NAT设置与端口转发的入口NAT 设置窗口里有两个区域上面是网关 IP下面是端口转发列表。端口转发的作用是让宿主机以及宿主机所在局域网里的其他设备能主动访问虚拟机的端口。比如你在虚拟机里起了一个 8080 的 Web 服务可以加一条主机端口8080类型 TCP虚拟机 IP192.168.88.10虚拟机端口8080。之后在宿主机浏览器访问http://localhost:8080就能打开。这里有个容易忽略的点虚拟机 IP 必须写成静态的。如果你用 DHCP 自动分配的地址重启一次虚拟机地址变了这条转发规则就指向了一个不存在的目标表现为昨天还能访问今天 502。所以只要用端口转发就一定要配合静态 IP。3. 客户机侧的第一公里先把网卡认出来3.1 接口名的坑ens33、ens160到只剩一个lo新装好的 Ubuntu 20.04敲ip a有时候输出里只有一个lo加一个ens33看起来正常有时候干脆只有lo那就说明系统根本没识别到虚拟网卡或者网卡被 DOWN 掉了。还有的机器上是ens160、eth0甚至是ens33改名之后的奇怪名字。先解决根本没有网卡的情况。去 VMware 的虚拟机设置里看网络适配器确认三件事设备状态里的已连接和启动时连接两个勾都打上了网络连接选的是NAT 模式高级里的 MAC 地址存在且不是全 0。改完这些之后虚拟机里再敲ip link应该能看到新网卡。如果网卡出现了但状态是DOWN手动拉起来sudo ip link set ens33 up ip link show ens33看到BROADCAST,MULTICAST,UP,LOWER_UP里带UP就说明链路层通了。LOWER_UP这个标记值得留意它表示驱动和虚拟硬件握手成功如果只有UP没有LOWER_UP问题多半在 VMware 那一侧。3.2 用几条命令快速判断卡在哪一层我排查时习惯按从下往上的顺序敲四条命令每条对应一层ip link show ens33 # 链路层网卡是否 up ip addr show ens33 # 网络层有没有拿到 IP ip route # 路由层默认网关在不在 systemd-resolve --status # DNS 层当前用的解析服务器第一条看state UP第二条看有没有inet 192.168.88.x第三条看有没有default via 192.168.88.2第四条看DNS Servers后面有没有正常地址。四条里哪一条断问题就在哪一层不用瞎猜。举个真实例子有次同事的虚拟机ip addr有地址、ip route有网关、ping 8.8.8.8通但ping www.baidu.com不通。这就明确指向 DNS。一查/etc/resolv.conf里面是个空文件因为 netplan 的配置里压根没写nameserverssystemd-resolved 没有上游可用。补上两行就解决了。3.3 手动要一次地址验证DHCP链路在正式改配置之前先确认自动分配这条链路是好的能省掉后面很多纠结sudo dhclient -v ens33 ip addr show ens33-v会把整个 DHCP 交互过程打出来从 DISCOVER、OFFER、REQUEST 到 ACK四个包走完就说明 VMware 的 DHCP 服务在正常工作。如果卡在 DISCOVER 就停了说明虚拟机发出的广播包没人应答那问题在 VMware 那边——大概率是上一节说的虚拟网络编辑器配置或者VMware DHCP Service这个 Windows 服务被禁用了。Windows 上可以按Win R输入services.msc找到以 VMware 开头的两个服务VMware DHCP Service和VMware NAT Service把它们设成自动启动并手动启动一次。这两个服务被某些优化软件关掉的情况非常常见而且现象特别迷惑——虚拟机里一切看起来都对就是上不了网。4. 让IP固定下来netplan与NetworkManager的写法取舍4.1 为什么我优先选静态IP先说结论只要你会用到 SSH、端口转发、数据库连接、容器端口映射中的任意一个就该配静态 IP。理由很直接。动态地址每次开机可能变化你的 SSH 配置、~/.ssh/config里的 Host、IDE 里的数据库连接串、Postman 里的接口地址全都要跟着改。更麻烦的是服务端场景你在 NAT 里加了端口转发指向.10结果 DHCP 今天给了.12服务就莫名其妙挂了而且报错信息完全指不到 IP 这个原因上。静态 IP 的唯一成本是你要规划一下地址段。我的习惯是网关.2、宿主机.1这两个绝对不动静态地址从.10开始往后排DHCP 池挪到.200之后。整个网段就清清爽爽不会撞车。4.2 netplan配置文件的关键字段Ubuntu 17.10 之后默认用 netplan 管网络配置文件放在/etc/netplan/下文件名通常是00-installer-config.yaml或01-network-manager-all.yaml。先看清楚用的是哪个ls /etc/netplan/ cat /etc/netplan/*.yaml然后按你的环境改。服务器版用 systemd-networkd 渲染推荐这样写network: version: 2 renderer: networkd ethernets: ens33: dhcp4: no addresses: - 192.168.88.10/24 routes: - to: default via: 192.168.88.2 nameservers: addresses: [223.5.5.5, 119.29.29.29]台式版用 NetworkManager 渲染把renderer改成networkmanager其他字段一样。有几个地方极其容易写错我按踩坑频率排个序第一缩进必须用空格不能用 Tab。YAML 对缩进敏感一个 Tab 就会让 netplan 解析失败报出的错误信息还相当不直观只说invalid yaml。这是新手遇到最多的问题没有之一。第二冒号后面必须有空格。dhcp4: no是对的dhcp4:no会被解析成一个字符串键直接报错。第三addresses后面的/24不能省。省了就是缺掩码netplan 会拒绝加载。第四Ubuntu 22.04 之后gateway4被标记为废弃建议统一改用routes写法虽然旧写法还能跑但会在netplan apply时刷一堆 warning看着心烦。改完之后执行sudo netplan try这个命令很贴心它会先应用配置并给你 120 秒确认窗口如果网络断了你没确认它会自动回滚。远程 SSH 改网络配置时我强烈建议用netplan try而不是直接apply能救你一次掉线重连的麻烦。4.3 渲染器选错会出现的诡异现象renderer这个字段决定谁来真正管这块网卡只有两个合法值networkd和NetworkManager。选错了不会报错但会出现各种奇怪现象。典型的是桌面版 Ubuntu 选了networkd命令行里网络是通的但右上角的网络图标显示未托管点开就是一排灰掉的选项想连 Wi-Fi 也连不了。反过来服务器版选了networkmanager又没装桌面组件NetworkManager 服务可能压根没跑netplan 的配置就没人来执行表现是配置写了跟没写一样。判断方法很简单看/etc/netplan/下那个文件里renderer是什么再看实际服务状态systemctl status systemd-networkd systemctl status NetworkManager nmcli device statusnmcli device status里如果ens33显示unmanaged那就是两套管理工具在打架。要么在 netplan 里改用 NetworkManager要么把 NetworkManager 里这个接口的托管配置打开。4.4 DNS为什么总是被覆盖这是另一个高频困惑点明明在 netplan 里写了nameserverscat /etc/resolv.conf却是空的或者只有一行注释。原因在于/etc/resolv.conf在现代 Ubuntu 上只是一个符号链接指向systemd-resolved的运行时文件。真实的 DNS 配置由 systemd-resolved 从 netplan 读取并注入。所以判断 DNS 是否生效要看这个命令resolvectl status或者老一点的写法systemd-resolve --status输出里找到Link 2 (ens33)这一段看DNS Servers:后面有没有你配的地址。有就说明生效了/etc/resolv.conf里空不空不重要。如果你确实需要手工写死 DNS比如某些老软件只读/etc/resolv.conf可以删掉那个符号链接自己建一个普通文件但要知道系统升级或重启相关服务时可能会被重新接管。更稳妥的做法是保留 systemd-resolved只在应用侧通过参数指定 DNS。注意DNS 别只配一个。我习惯同时填两个不同运营商的公共解析地址一旦其中一个出现解析异常另一个还能顶上避免整个环境的包管理、Git 拉取全部卡死。5. Ubuntu 20.04网络连接激活失败的排查链路5.1 先把现象拆成三类网络连接激活失败这句话本身包含的信息量是零得先把现象拆开。第一类虚拟机里ip addr完全没有192.168.88.x的地址。这说明 DHCP 没有分配成功问题在虚拟网络层面。第二类有地址、有网关但ping 192.168.88.2不通。这说明二层通了但三层到网关不通多半是网段或掩码不一致。第三类能 ping 通网关、也能 ping 通8.8.8.8但域名解析失败。这是纯 DNS 问题。三类现象对应的排查方向完全不同。我见过太多人一上来就改 DNS结果实际上是第一类问题越改越乱。5.2 克隆虚拟机引发的MAC地址冲突如果你是从一台已经配好的虚拟机克隆出来的并且克隆时选了创建完整克隆那八成会遇到这个问题两台虚拟机的 MAC 地址一模一样。在同一个 VMnet8 网段里两块相同 MAC 的网卡同时在线交换机会来回翻转它的 MAC 地址表两边的网络都会时断时续甚至表现为能 ping 通但速度极慢。这属于最难查的一类故障因为两边配置看起来都完全正确。解决办法是让 VMware 重新生成一个 MAC关掉虚拟机右键设置→网络适配器→高级点生成按钮或者直接在.vmx文件里删掉ethernet0.address那一行让 VMware 自动分配。顺便说一个更隐蔽的坑克隆之后系统里的/etc/machine-id是一样的某些依赖机器标识的服务会有奇怪表现可以顺手处理一下sudo rm /etc/machine-id sudo systemd-machine-id-setup5.3 NetworkManager未托管的处理方式如果nmcli device status里接口显示unmanaged而你在图形界面里点网络连接又一直失败可以按这个顺序处理。先看 netplan 里的 renderer 是不是networkmanager是的话把接口的托管配置确认一下。Ubuntu 桌面版默认会在/etc/NetworkManager/conf.d/或/usr/lib/NetworkManager/conf.d/下有 netplan 生成的配置文件里面有类似这样的内容[keyfile] unmanaged-devices*,except:type:wifi,except:type:ethernet如果这块网卡的类型没被排除掉或者有别的规则把它列进了 unmanaged它就会被 NetworkManager 忽略。清空这条规则或者在 netplan 里为这个接口单独指定renderer: networkmanager然后重启两个服务sudo systemctl restart systemd-networkd sudo systemctl restart NetworkManager5.4 重启顺序和验证动作网络服务在小环境里重启顺序其实有讲究。我一般这么走sudo netplan apply sudo systemctl restart systemd-networkd sudo systemctl restart NetworkManager ip addr show ens33 ip route ping -c 3 192.168.88.2 ping -c 3 8.8.8.8 ping -c 3 www.baidu.com六步跑完能定位到具体断点。中间任何一步失败就停下解决不要在失败的状态上继续往下走那只会积累无关的干扰信息。一个小经验ping 8.8.8.8通但ping www.baidu.com不通是典型的 DNS两个都不通但能 ping 通网关问题在 NAT 服务或者宿主机的物理网络出口上去宿主机检查VMware NAT Service是否在运行以及宿主机自己能不能上网。6. 主机、虚拟机、外网三方互访的落地配置6.1 从宿主机访问虚拟机SSH与Web服务NAT 模式下宿主机是能主动访问虚拟机的因为 VMnet8 这块虚拟网卡让宿主机和虚拟机处在同一个虚拟网段里。前提是虚拟机配了静态 IP比如192.168.88.10。配好之后在宿主机上直接ssh user192.168.88.10或者浏览器访问http://192.168.88.10:8080。如果连不上先在宿主机上ping 192.168.88.10通了再检查虚拟机里的防火墙sudo ufw status sudo ufw allow 22/tcpUbuntu 服务器版默认是没有开 ufw 的但桌面版有时候会被打开。另外如果你用的是 Windows 宿主机上的第三方安全软件也可能拦截对192.168.88.0/24这个网段的访问这个需要单独放行。为了方便我通常在宿主机的 SSH 配置里加一段Host dev HostName 192.168.88.10 User ubuntu IdentityFile ~/.ssh/id_rsa之后一句ssh dev就能进虚拟机比每次敲 IP 舒服得多。6.2 NAT端口转发的失效原因盘点端口转发用起来很方便但失效的原因就那么几类我整理成表现象最可能的原因处理方向转发规则加了但完全连不上虚拟机 IP 是动态的激活后变了给虚拟机配静态 IP宿主机能访问同局域网同事不能NAT 模式本身限制改用桥接模式或做宿主机层转发时通时断虚拟机内服务只监听 127.0.0.1服务改为监听 0.0.0.0端口冲突报错宿主机该端口被占用换一个宿主机端口规则在但重启后消失虚拟网络编辑器权限问题或被还原用管理员权限重新添加其中只监听 127.0.0.1这个坑特别值得说。比如你用 Python 起一个简单的 HTTP 服务默认就绑在127.0.0.1:8000上端口转发过来了也访问不到。起服务时明确指定--bind 0.0.0.0或者对应的监听地址问题就解决了。数据库、Redis 也一样配置文件里的bind参数要放开。另外端口转发有个限制需要提前知道它只对宿主机生效不会让局域网里的其他设备访问到虚拟机。因为 NAT 的本质就是让虚拟机的流量隐身在宿主机后面。如果同事需要访问你虚拟机里的服务正确做法是改用桥接模式。6.3 虚拟机反向访问宿主机虚拟机上外网走的是 NAT访问宿主机则可以通过 VMnet8 在宿主机侧的那个地址通常是192.168.88.1。比如宿主机上起了一个本地接口文档服务在 3000 端口虚拟机里访问http://192.168.88.1:3000就能打开。如果访问不通多半是宿主机防火墙拦了。Windows 上要在高级安全 Windows Defender 防火墙里为对应的入站端口放行并且注意作用域要包含192.168.88.0/24这个网段。这一步经常被忽略因为很多人只想到虚拟机侧的防火墙。还有一种情况是宿主机上的服务本身只绑定了127.0.0.1。比如很多开发服务器默认就是这样这时需要改成0.0.0.0才能被外部访问。6.4 需要和局域网设备通信时桥接才是正解如果你的场景是要和真实硬件通信比如通过虚拟机里的工程软件去连接局域网中某台 PLC 或者工业网关那 NAT 模式会直接卡死你——因为设备所在的网段根本看不到你的虚拟机。这种场景必须用桥接模式让虚拟机拿到一个和设备同网段的真实 IP并且保证宿主机是插网线连在那个网段上用 Wi-Fi 且开了网络隔离的环境下桥接可能也不通。同时要注意关闭宿主机的无线网卡桥接明确把桥接目标指定为有线网卡否则 VMware 自动挑错网卡的概率很高。我的做法是日常开发环境用 NAT需要联调硬件时在虚拟机设置里临时切到桥接用完切回来。两种模式对应不同的虚拟网卡配置互不干扰切换成本很低。7. 一套能直接照抄的检查流程与故障速查把前面的内容收成一份可以照着走的流程出问题时逐条对照比凭感觉改配置高效得多。第一步虚拟机设置里确认网络适配器选了 NAT 模式已连接启动时连接都勾上MAC 地址存在。第二步VMware 虚拟网络编辑器里确认 VMnet8 是 NAT 类型宿主机虚拟适配器已连接记下子网、网关、DHCP 池三段信息。第三步在宿主机上确认VMware DHCP Service和VMware NAT Service两个服务都在运行Windows 用services.mscLinux 宿主机用systemctl status vmware查看对应服务。第四步虚拟机里ip link show确认网卡 updhclient -v确认能拿到地址。这一步拿到地址了说明底层没问题可以进第五步。第五步改 netplan 配静态 IPnetplan try验证resolvectl status确认 DNS 生效。第六步按ping 网关→ping 公网 IP→ping 域名三步验证哪步断查哪层。日常维护上还有几个小习惯值得养成。把虚拟机的静态 IP 和用途记在一个自己的小本子里比如.10是数据库服务器、.11是 Web 测试机、.12是容器宿主IP 一多很容易记混。用open-vm-tools而不是手动挂载 ISO 装 VMware Tools在 Ubuntu 上直接sudo apt install open-vm-tools open-vm-tools-desktop就行省掉了装完提示重启、脚本执行失败那类麻烦。共享文件夹如果出现从服务器获取共享列表失败先确认open-vm-tools装好、虚拟机设置里共享文件夹的路径没有中文和空格再重启一次虚拟机这个问题通常就消失了。最后说个实际感受。这套 NAT 配置的原理其实十年前就是这样之后版本更新主要是在 UI 和默认值上打转。真正会让人卡住半天的从来不是命令本身而是那三四个配置看起来完全正确但就是不通的点MAC 冲突、DNS 被 systemd-resolved 接管、静态 IP 落在 DHCP 池里、服务只监听回环地址。把这四个点记在心里遇到再怪的网络问题也能很快收敛到原因上。