1. 虚拟机网络不通这件事到底卡在哪搞过虚拟机的人大概都遇到过这种场景宿主机上装了个 CentOS 8 的虚拟机满心欢喜想从主机 SSH 连上去结果 ping 了半天全是超时。反过来从虚拟机 ping 主机也是一片红。这时候很多人第一反应是“防火墙没关吧”关了防火墙发现还是不通然后就懵了。这个问题看起来简单实际上牵扯到虚拟化平台的网络模式选择、虚拟网卡配置、IP 地址规划、系统防火墙规则、SELinux 策略等好几个层面。任何一个环节出问题都会导致双向 ping 不通。而且不同虚拟化软件比如 VirtualBox、VMware Workstation、KVM/QEMU 等的网络模型还不一样处理方式也有差异。这篇文章面向的是刚接触 Linux 虚拟化的运维新手、开发测试人员以及需要在本地搭建实验环境的学习者。我会从网络模式选型开始一步步拆解 CentOS 8 虚拟机和宿主机之间双向 ping 通的完整配置流程包括 IP 规划、网卡配置、防火墙放行、路由检查等关键环节。每个步骤都会解释为什么这么做以及踩坑之后怎么排查。读完你至少能掌握一套通用的排查思路不管用的是哪种虚拟化平台都能快速定位问题。2. 先搞清楚虚拟机的网络模式再动手2.1 三种常见网络模式的核心区别在动手配 IP 之前必须先理解虚拟机网络模式。这是整个问题的根基选错了模式后面怎么配都白搭。以最常见的 VirtualBox 和 VMware Workstation 为例它们各自提供了几种网络连接方式核心逻辑是相通的。NAT 模式虚拟机通过宿主机做地址转换访问外部网络。虚拟机会被分配一个私有 IP比如 10.0.2.15宿主机相当于一个路由器。这种模式下虚拟机可以访问外网也可以 ping 通宿主机通过宿主机的虚拟网卡地址但宿主机默认无法主动 ping 通虚拟机因为虚拟机藏在 NAT 后面没有独立的外部可达地址。桥接模式Bridged虚拟机的虚拟网卡直接桥接到宿主机的物理网卡上相当于虚拟机在局域网里是一台独立的机器会从局域网的 DHCP 服务器获取 IP或者手动配同网段 IP。这种模式下虚拟机和宿主机在同一个二层网络里双向 ping 通毫无压力虚拟机也能被局域网其他机器访问。仅主机模式Host-Only虚拟机只能和宿主机通信不能访问外网。虚拟化软件会创建一个虚拟网卡比如 VirtualBox 的 vboxnet0VMware 的 VMnet1宿主机和虚拟机都连在这个虚拟交换机上。这种模式最适合做隔离实验双向 ping 通只需要保证两者在同一个子网即可。提示如果你的目标是让虚拟机和宿主机互 ping同时虚拟机还要能上网桥接模式是最省心的选择。如果只是本地实验不需要外网仅主机模式更干净。2.2 为什么推荐桥接模式作为首选方案从实操角度来说桥接模式的优势非常明显。虚拟机和宿主机在同一个网段IP 规划简单不需要额外配置路由转发或者端口映射。宿主机 ping 虚拟机直接用虚拟机 IP 就行虚拟机 ping 宿主机也用宿主机的局域网 IP。SSH、HTTP 等各种服务都能直接访问不需要做 NAT 端口转发。NAT 模式下虽然虚拟机 ping 宿主机通常没问题宿主机虚拟网卡地址一般是 10.0.2.2 或者 192.168.x.1但宿主机 ping 虚拟机就需要在虚拟化软件里配置端口转发规则而且 ping 本身是 ICMP 协议端口转发对 ICMP 的支持并不好很多情况下根本转发不了。所以如果你非要双向 ping 通NAT 模式会很别扭。仅主机模式的问题在于隔离性太强虚拟机无法访问外网安装软件、更新包都会很麻烦。当然如果你只是做纯本地网络实验这个模式反而更合适因为不会受外部网络环境变化的影响。我个人的建议是日常开发测试用桥接模式做网络安全实验或者需要完全隔离的环境用仅主机模式。NAT 模式适合那些只需要虚拟机单向上网、不需要被外部访问的场景。2.3 选错模式后的典型症状对照网络模式虚拟机 ping 宿主机宿主机 ping 虚拟机虚拟机访问外网NAT通常可以默认不行可以桥接可以可以可以仅主机可以可以不行这张表可以帮你快速判断当前问题是不是网络模式选错了。如果宿主机死活 ping 不通虚拟机而虚拟机 ping 宿主机没问题大概率就是 NAT 模式在作怪。这时候要么换成桥接模式要么去配置端口转发但 ICMP 转发效果很差。3. CentOS 8 网络配置的完整实操流程3.1 确认虚拟网卡状态和 IP 分配情况假设你已经把虚拟机网络模式设成了桥接或者仅主机接下来进入 CentOS 8 系统内部操作。CentOS 8 默认使用 NetworkManager 管理网络网卡命名规则通常是 ens33、ens160、enp0s3 这类。第一步查看当前网卡状态nmcli device status这条命令会列出所有网络设备及其状态。如果看到 ens33 的状态是 disconnected 或者 unmanaged说明网卡没有正常激活。接着查看 IP 分配情况ip addr show或者用老牌命令ifconfig -a如果网卡没有拿到 IP或者 IP 是 169.254.x.x 这种自动私有地址说明 DHCP 没工作或者网卡配置有问题。桥接模式下如果局域网有 DHCP 服务器通常会自动获取 IP。如果没有 DHCP就需要手动配置静态 IP。注意CentOS 8 最小化安装可能没有预装 ifconfig 和 net-tools可以用dnf install net-tools安装但推荐优先使用 ip 命令功能更强大。3.2 用 nmcli 配置静态 IP 的详细步骤桥接模式下如果 DHCP 分配不到 IP或者你想固定 IP 方便后续访问就需要手动配置。CentOS 8 推荐用 nmcli 命令来操作比直接改配置文件更直观也不容易出错。先查看当前连接名称nmcli connection show假设连接名称是 ens33要配置静态 IP 为 192.168.1.100网关 192.168.1.1DNS 用 223.5.5.5子网掩码 24 位命令如下nmcli connection modify ens33 ipv4.addresses 192.168.1.100/24 nmcli connection modify ens33 ipv4.gateway 192.168.1.1 nmcli connection modify ens33 ipv4.dns 223.5.5.5 nmcli connection modify ens33 ipv4.method manual nmcli connection up ens33这里有几个关键点需要解释。ipv4.method manual表示使用手动配置而不是 DHCP如果不设这一项即使配了静态地址NetworkManager 还是会尝试 DHCP可能导致 IP 被覆盖。ipv4.addresses后面的 /24 是 CIDR 表示法等同于子网掩码 255.255.255.0。配置完成后用ip addr show ens33确认 IP 是否生效。然后用ping 192.168.1.1测试网关是否可达。如果网关都 ping 不通说明二层链路有问题需要检查虚拟化软件的桥接设置。3.3 宿主机侧的 IP 确认与网段匹配检查虚拟机配好 IP 之后回到宿主机确认它的 IP 地址。Windows 上用ipconfigLinux 或 macOS 上用ip addr或ifconfig。关键是要确认虚拟机和宿主机的 IP 在同一个子网内。比如宿主机是 192.168.1.50/24虚拟机是 192.168.1.100/24那它们就在同一个网段可以直接通信。如果宿主机是 192.168.1.50/24虚拟机配成了 192.168.2.100/24那就需要路由才能通普通桥接模式下是不通的。桥接模式下虚拟机的 IP 应该和宿主机物理网卡在同一个网段。仅主机模式下虚拟机和宿主机都连接在虚拟网卡上IP 应该配在虚拟网卡所在的网段。比如 VirtualBox 仅主机模式默认虚拟网卡是 192.168.56.1/24那虚拟机就应该配 192.168.56.x/24。提示如果宿主机有多个网卡比如同时有有线和无线桥接模式需要指定桥接到哪块物理网卡。选错了网卡虚拟机可能拿到一个完全不相干的网段 IP。3.4 防火墙放行 ICMP 和关键服务端口IP 配好了网段也对了但 ping 还是不通这时候大概率是防火墙在拦截。CentOS 8 默认使用 firewalld默认区域通常是 public这个区域默认放行了 SSH 和 DHCPv6 客户端但 ICMP 是默认允许的firewalld 默认规则里 ICMP 是放行的。先检查防火墙状态systemctl status firewalld如果防火墙在运行查看当前区域的规则firewall-cmd --list-all正常情况下应该能看到icmp-block-inversion是 no表示没有阻止 ICMP。如果发现 ICMP 被阻止了可以临时放行firewall-cmd --add-icmp-block-inversion firewall-cmd --reload不过更常见的情况是ping 本身能通但 SSH 或者其他服务连不上那就是对应端口没放行。比如放行 SSHfirewall-cmd --permanent --add-servicessh firewall-cmd --reload如果为了排查问题想临时关闭防火墙systemctl stop firewalld但生产环境千万别这么干排查完记得重新启动。3.5 SELinux 对网络通信的潜在影响SELinux 在 CentOS 8 上默认是 enforcing 模式虽然它主要影响的是服务进程的权限一般不直接拦截 ping但在某些特殊场景下可能会影响网络服务的绑定和访问。查看 SELinux 状态getenforce如果返回 Enforcing可以临时设为 Permissive 来排查是否是 SELinux 导致的问题setenforce 0如果设为 Permissive 后问题解决说明是 SELinux 策略问题需要针对性调整策略而不是直接永久关闭。不过对于 ping 不通这个问题SELinux 通常不是元凶防火墙和网络配置才是重点排查对象。4. 双向 ping 不通的排查思路与实战案例4.1 从底层到上层的分层排查法网络问题排查最忌讳东一榔头西一棒子需要有层次地从底层往上查。我习惯按这个顺序来第一层检查虚拟化软件的网络设置。确认虚拟机网络模式是桥接还是仅主机桥接的话桥接到了哪块物理网卡。这一步在虚拟化软件的界面里操作不在系统内部。第二层检查虚拟机网卡是否激活、是否拿到 IP。用nmcli device status和ip addr确认。第三层检查 IP 和网段是否匹配。虚拟机和宿主机的 IP 必须在同一子网子网掩码要一致。第四层检查路由表。用ip route查看默认网关是否正确。如果路由表里没有到宿主机网段的路由包就发出不去。第五层检查防火墙和 SELinux。用firewall-cmd --list-all和getenforce确认。第六层抓包分析。在虚拟机上用tcpdump -i ens33 icmp抓包然后在宿主机 ping 虚拟机看包有没有到达虚拟机。如果到了但没回说明是虚拟机内部问题如果根本没到说明是虚拟化网络层的问题。4.2 典型故障场景宿主机能 ping 通虚拟机但反过来不行这种情况通常说明虚拟机的出站方向有问题。最常见的原因是虚拟机的默认网关配错了或者路由表里缺少到宿主机网段的路由。先看路由表ip route show正常应该有一条default via 192.168.1.1 dev ens33的默认路由。如果没有默认路由虚拟机只能和同网段通信跨网段就不行了。但如果是同网段互 ping不需要默认路由只要有直连路由就行。另一个可能的原因是虚拟机的 iptables 规则里有出站限制。虽然 firewalld 默认不限制出站但如果之前有人手动加过 iptables 规则可能会拦截。查看规则iptables -L -n如果发现 OUTPUT 链有 DROP 规则需要清理或者调整。还有一种情况是 ARP 缓存问题。有时候虚拟机和宿主机的 ARP 表里没有对方的 MAC 地址导致包发不出去。可以尝试清除 ARP 缓存ip neigh flush all然后重新 ping 触发 ARP 解析。4.3 典型故障场景虚拟机 ping 不通宿主机但能上网这个现象很有意思说明虚拟机的出站路由是通的能上网说明默认网关没问题但就是 ping 不通宿主机。这通常是因为宿主机的防火墙拦截了 ICMP 请求。Windows 宿主机默认防火墙是阻止 ICMP 入站的。需要在 Windows 防火墙的高级设置里启用“文件和打印机共享回显请求 - ICMPv4-In”规则。具体操作是打开“高级安全 Windows Defender 防火墙”找到入站规则启用对应的 ICMP 规则。Linux 宿主机的话检查 iptables 或 firewalld 是否放行了 ICMP。有些发行版默认的防火墙规则会丢弃 ICMP。还有一种可能是宿主机有多块网卡虚拟机 ping 的地址是宿主机另一块网卡的地址而那块网卡和虚拟机不在同一个网络里。比如宿主机有线和无线同时连着虚拟机桥接到有线网卡但 ping 的是无线网卡的 IP那肯定不通。4.4 常见问题速查表现象可能原因排查命令解决方法虚拟机无 IPDHCP 未工作或网卡未激活nmcli device status手动配静态 IP 或激活网卡双向都不通网络模式选错虚拟化软件界面查看改为桥接或仅主机模式宿主机 ping 不通虚拟机虚拟机防火墙拦截firewall-cmd --list-all放行 ICMP 或临时关防火墙虚拟机 ping 不通宿主机宿主机防火墙拦截Windows 防火墙设置启用 ICMP 入站规则同网段也不通子网掩码不一致ip addr对比统一子网掩码时通时不通ARP 冲突或 IP 冲突arp -a更换 IP 或清 ARP 缓存能 ping 通但 SSH 连不上SSH 端口未放行firewall-cmd --list-all放行 ssh 服务这张表基本覆盖了 90% 以上的常见问题。遇到问题先对照表格快速定位然后再深入排查。4.5 抓包实战用 tcpdump 定位丢包位置当常规排查都试过了还是不通就需要抓包了。在虚拟机上执行tcpdump -i ens33 -nn icmp然后在宿主机上 ping 虚拟机 IP。观察虚拟机的 tcpdump 输出如果看到ICMP echo request但没有ICMP echo reply说明请求到了虚拟机但虚拟机没有回复。问题在虚拟机内部可能是防火墙拦截了出站 ICMP 回复或者内核参数有问题。如果什么都没看到说明请求根本没到虚拟机。问题在虚拟化网络层或者宿主机到虚拟机的链路上。反过来在虚拟机上 ping 宿主机同时在宿主机上抓包也能判断包有没有到达宿主机。提示tcpdump 需要 root 权限普通用户加 sudo 执行。抓包时可以用-c 10限制抓 10 个包就停止避免刷屏。5. 让配置持久化并避免下次踩坑5.1 NetworkManager 配置的持久化验证用 nmcli 做的配置默认就是持久的会写入/etc/sysconfig/network-scripts/ifcfg-ens33文件。但为了保险还是确认一下cat /etc/sysconfig/network-scripts/ifcfg-ens33应该能看到BOOTPROTOnone、IPADDR192.168.1.100、NETMASK255.255.255.0、GATEWAY192.168.1.1、ONBOOTyes这些关键配置。ONBOOTyes特别重要如果它是 no系统重启后网卡不会自动激活又得手动 up 一次。改完配置文件后重启网络服务nmcli connection reload nmcli connection up ens33或者直接重启系统验证配置是否自动生效。5.2 虚拟机克隆后的 IP 冲突问题很多人配好一台虚拟机后会克隆出多台来做集群实验。克隆出来的虚拟机 MAC 地址会变但 IP 配置文件里的 IP 还是原来的直接启动就会和原虚拟机 IP 冲突导致网络时通时不通。解决方法是在克隆后立即修改 IP 和主机名。CentOS 8 修改主机名hostnamectl set-hostname node2然后修改 IP 配置文件把 IP 改成新的地址。同时检查/etc/hosts文件把旧主机名映射更新掉。另外克隆后网卡的 UUID 也会重复需要重新生成nmcli connection modify ens33 connection.uuid $(uuidgen)或者直接删除旧连接重新创建。5.3 宿主机重启后虚拟机网络失效的处理有时候宿主机重启后虚拟机的网络就不通了。这通常是因为虚拟化软件的虚拟网卡仅主机模式或者桥接驱动没有正常加载。VirtualBox 的话检查虚拟网卡是否还在VBoxManage list hostonlyifs如果虚拟网卡消失了需要重新创建。VMware 的话检查 VMnet1 和 VMnet8 是否正常。桥接模式下宿主机重启后物理网卡可能重新枚举导致桥接失效。这时候需要在虚拟化软件里重新选择桥接的物理网卡。提示如果宿主机经常重启建议把虚拟机网络模式设为仅主机模式这样不依赖物理网卡状态稳定性更好。需要外网的时候再临时切换。5.4 我个人踩过的几个坑第一个坑是子网掩码配错。有一次虚拟机配了 192.168.1.100/24宿主机是 192.168.1.50/16看起来 IP 前缀一样但子网掩码不同导致实际不在同一个子网。宿主机认为 192.168.1.100 在 192.168.0.0/16 网段内虚拟机认为宿主机在 192.168.1.0/24 网段内双方对网络的认知不一致通信就出问题了。所以配 IP 的时候一定要确认子网掩码一致。第二个坑是虚拟化软件的虚拟网卡被系统防火墙拦截了。Windows 上安装 VirtualBox 或 VMware 后系统防火墙可能会把虚拟网卡识别为“公用网络”然后默认阻止入站。需要在防火墙设置里把虚拟网卡对应的网络改为“专用网络”或者手动放行。第三个坑是 NetworkManager 和 network-scripts 冲突。CentOS 8 同时存在两套网络管理工具如果手动改了 network-scripts 文件又用 nmcli 操作可能会互相覆盖。建议统一用 nmcli不要混用。第四个坑是虚拟机时间不同步导致证书验证失败间接影响网络服务。虽然不影响 ping但会影响 SSH 密钥交换等操作。建议开启 chronyd 时间同步systemctl enable --now chronyd这些坑看起来都是小问题但排查起来很费时间。提前知道就能少走弯路。5.5 验证双向连通性的完整检查清单最后给一个完整的验证清单配好之后按顺序执行一遍确保万无一失虚拟机内ip addr确认 IP 和子网掩码正确虚拟机内ip route确认默认网关正确宿主机ipconfig或ip addr确认 IP 和子网掩码对比两者是否在同一子网虚拟机 ping 宿主机 IP确认通宿主机 ping 虚拟机 IP确认通虚拟机 ping 外网地址如 223.5.5.5确认能上网桥接模式宿主机 SSH 连虚拟机确认端口可达重启虚拟机和宿主机再次验证以上步骤这个清单走一遍基本能覆盖所有常见问题。如果还有不通的就回到第 4 节的抓包方法逐层定位。网络配置这件事理论看着简单实际操作中变量太多。虚拟化平台版本、宿主机操作系统、网络环境、安全软件任何一个因素都可能让配置失效。我自己的经验是每换一个新环境都按这套流程重新走一遍不要假设之前的配置能直接复用。尤其是 IP 网段不同环境的局域网网段可能完全不同照搬配置很容易出问题。 
长河君 · 2026/10/21 12:36:35 · 阅读 1.2k CentOS 8虚拟机与宿主机双向ping不通？网络模式选型与排查全攻略
1. 虚拟机网络不通这件事到底卡在哪搞过虚拟机的人大概都遇到过这种场景宿主机上装了个 CentOS 8 的虚拟机满心欢喜想从主机 SSH 连上去结果 ping 了半天全是超时。反过来从虚拟机 ping 主机也是一片红。这时候很多人第一反应是“防火墙没关吧”关了防火墙发现还是不通然后就懵了。这个问题看起来简单实际上牵扯到虚拟化平台的网络模式选择、虚拟网卡配置、IP 地址规划、系统防火墙规则、SELinux 策略等好几个层面。任何一个环节出问题都会导致双向 ping 不通。而且不同虚拟化软件比如 VirtualBox、VMware Workstation、KVM/QEMU 等的网络模型还不一样处理方式也有差异。这篇文章面向的是刚接触 Linux 虚拟化的运维新手、开发测试人员以及需要在本地搭建实验环境的学习者。我会从网络模式选型开始一步步拆解 CentOS 8 虚拟机和宿主机之间双向 ping 通的完整配置流程包括 IP 规划、网卡配置、防火墙放行、路由检查等关键环节。每个步骤都会解释为什么这么做以及踩坑之后怎么排查。读完你至少能掌握一套通用的排查思路不管用的是哪种虚拟化平台都能快速定位问题。2. 先搞清楚虚拟机的网络模式再动手2.1 三种常见网络模式的核心区别在动手配 IP 之前必须先理解虚拟机网络模式。这是整个问题的根基选错了模式后面怎么配都白搭。以最常见的 VirtualBox 和 VMware Workstation 为例它们各自提供了几种网络连接方式核心逻辑是相通的。NAT 模式虚拟机通过宿主机做地址转换访问外部网络。虚拟机会被分配一个私有 IP比如 10.0.2.15宿主机相当于一个路由器。这种模式下虚拟机可以访问外网也可以 ping 通宿主机通过宿主机的虚拟网卡地址但宿主机默认无法主动 ping 通虚拟机因为虚拟机藏在 NAT 后面没有独立的外部可达地址。桥接模式Bridged虚拟机的虚拟网卡直接桥接到宿主机的物理网卡上相当于虚拟机在局域网里是一台独立的机器会从局域网的 DHCP 服务器获取 IP或者手动配同网段 IP。这种模式下虚拟机和宿主机在同一个二层网络里双向 ping 通毫无压力虚拟机也能被局域网其他机器访问。仅主机模式Host-Only虚拟机只能和宿主机通信不能访问外网。虚拟化软件会创建一个虚拟网卡比如 VirtualBox 的 vboxnet0VMware 的 VMnet1宿主机和虚拟机都连在这个虚拟交换机上。这种模式最适合做隔离实验双向 ping 通只需要保证两者在同一个子网即可。提示如果你的目标是让虚拟机和宿主机互 ping同时虚拟机还要能上网桥接模式是最省心的选择。如果只是本地实验不需要外网仅主机模式更干净。2.2 为什么推荐桥接模式作为首选方案从实操角度来说桥接模式的优势非常明显。虚拟机和宿主机在同一个网段IP 规划简单不需要额外配置路由转发或者端口映射。宿主机 ping 虚拟机直接用虚拟机 IP 就行虚拟机 ping 宿主机也用宿主机的局域网 IP。SSH、HTTP 等各种服务都能直接访问不需要做 NAT 端口转发。NAT 模式下虽然虚拟机 ping 宿主机通常没问题宿主机虚拟网卡地址一般是 10.0.2.2 或者 192.168.x.1但宿主机 ping 虚拟机就需要在虚拟化软件里配置端口转发规则而且 ping 本身是 ICMP 协议端口转发对 ICMP 的支持并不好很多情况下根本转发不了。所以如果你非要双向 ping 通NAT 模式会很别扭。仅主机模式的问题在于隔离性太强虚拟机无法访问外网安装软件、更新包都会很麻烦。当然如果你只是做纯本地网络实验这个模式反而更合适因为不会受外部网络环境变化的影响。我个人的建议是日常开发测试用桥接模式做网络安全实验或者需要完全隔离的环境用仅主机模式。NAT 模式适合那些只需要虚拟机单向上网、不需要被外部访问的场景。2.3 选错模式后的典型症状对照网络模式虚拟机 ping 宿主机宿主机 ping 虚拟机虚拟机访问外网NAT通常可以默认不行可以桥接可以可以可以仅主机可以可以不行这张表可以帮你快速判断当前问题是不是网络模式选错了。如果宿主机死活 ping 不通虚拟机而虚拟机 ping 宿主机没问题大概率就是 NAT 模式在作怪。这时候要么换成桥接模式要么去配置端口转发但 ICMP 转发效果很差。3. CentOS 8 网络配置的完整实操流程3.1 确认虚拟网卡状态和 IP 分配情况假设你已经把虚拟机网络模式设成了桥接或者仅主机接下来进入 CentOS 8 系统内部操作。CentOS 8 默认使用 NetworkManager 管理网络网卡命名规则通常是 ens33、ens160、enp0s3 这类。第一步查看当前网卡状态nmcli device status这条命令会列出所有网络设备及其状态。如果看到 ens33 的状态是 disconnected 或者 unmanaged说明网卡没有正常激活。接着查看 IP 分配情况ip addr show或者用老牌命令ifconfig -a如果网卡没有拿到 IP或者 IP 是 169.254.x.x 这种自动私有地址说明 DHCP 没工作或者网卡配置有问题。桥接模式下如果局域网有 DHCP 服务器通常会自动获取 IP。如果没有 DHCP就需要手动配置静态 IP。注意CentOS 8 最小化安装可能没有预装 ifconfig 和 net-tools可以用dnf install net-tools安装但推荐优先使用 ip 命令功能更强大。3.2 用 nmcli 配置静态 IP 的详细步骤桥接模式下如果 DHCP 分配不到 IP或者你想固定 IP 方便后续访问就需要手动配置。CentOS 8 推荐用 nmcli 命令来操作比直接改配置文件更直观也不容易出错。先查看当前连接名称nmcli connection show假设连接名称是 ens33要配置静态 IP 为 192.168.1.100网关 192.168.1.1DNS 用 223.5.5.5子网掩码 24 位命令如下nmcli connection modify ens33 ipv4.addresses 192.168.1.100/24 nmcli connection modify ens33 ipv4.gateway 192.168.1.1 nmcli connection modify ens33 ipv4.dns 223.5.5.5 nmcli connection modify ens33 ipv4.method manual nmcli connection up ens33这里有几个关键点需要解释。ipv4.method manual表示使用手动配置而不是 DHCP如果不设这一项即使配了静态地址NetworkManager 还是会尝试 DHCP可能导致 IP 被覆盖。ipv4.addresses后面的 /24 是 CIDR 表示法等同于子网掩码 255.255.255.0。配置完成后用ip addr show ens33确认 IP 是否生效。然后用ping 192.168.1.1测试网关是否可达。如果网关都 ping 不通说明二层链路有问题需要检查虚拟化软件的桥接设置。3.3 宿主机侧的 IP 确认与网段匹配检查虚拟机配好 IP 之后回到宿主机确认它的 IP 地址。Windows 上用ipconfigLinux 或 macOS 上用ip addr或ifconfig。关键是要确认虚拟机和宿主机的 IP 在同一个子网内。比如宿主机是 192.168.1.50/24虚拟机是 192.168.1.100/24那它们就在同一个网段可以直接通信。如果宿主机是 192.168.1.50/24虚拟机配成了 192.168.2.100/24那就需要路由才能通普通桥接模式下是不通的。桥接模式下虚拟机的 IP 应该和宿主机物理网卡在同一个网段。仅主机模式下虚拟机和宿主机都连接在虚拟网卡上IP 应该配在虚拟网卡所在的网段。比如 VirtualBox 仅主机模式默认虚拟网卡是 192.168.56.1/24那虚拟机就应该配 192.168.56.x/24。提示如果宿主机有多个网卡比如同时有有线和无线桥接模式需要指定桥接到哪块物理网卡。选错了网卡虚拟机可能拿到一个完全不相干的网段 IP。3.4 防火墙放行 ICMP 和关键服务端口IP 配好了网段也对了但 ping 还是不通这时候大概率是防火墙在拦截。CentOS 8 默认使用 firewalld默认区域通常是 public这个区域默认放行了 SSH 和 DHCPv6 客户端但 ICMP 是默认允许的firewalld 默认规则里 ICMP 是放行的。先检查防火墙状态systemctl status firewalld如果防火墙在运行查看当前区域的规则firewall-cmd --list-all正常情况下应该能看到icmp-block-inversion是 no表示没有阻止 ICMP。如果发现 ICMP 被阻止了可以临时放行firewall-cmd --add-icmp-block-inversion firewall-cmd --reload不过更常见的情况是ping 本身能通但 SSH 或者其他服务连不上那就是对应端口没放行。比如放行 SSHfirewall-cmd --permanent --add-servicessh firewall-cmd --reload如果为了排查问题想临时关闭防火墙systemctl stop firewalld但生产环境千万别这么干排查完记得重新启动。3.5 SELinux 对网络通信的潜在影响SELinux 在 CentOS 8 上默认是 enforcing 模式虽然它主要影响的是服务进程的权限一般不直接拦截 ping但在某些特殊场景下可能会影响网络服务的绑定和访问。查看 SELinux 状态getenforce如果返回 Enforcing可以临时设为 Permissive 来排查是否是 SELinux 导致的问题setenforce 0如果设为 Permissive 后问题解决说明是 SELinux 策略问题需要针对性调整策略而不是直接永久关闭。不过对于 ping 不通这个问题SELinux 通常不是元凶防火墙和网络配置才是重点排查对象。4. 双向 ping 不通的排查思路与实战案例4.1 从底层到上层的分层排查法网络问题排查最忌讳东一榔头西一棒子需要有层次地从底层往上查。我习惯按这个顺序来第一层检查虚拟化软件的网络设置。确认虚拟机网络模式是桥接还是仅主机桥接的话桥接到了哪块物理网卡。这一步在虚拟化软件的界面里操作不在系统内部。第二层检查虚拟机网卡是否激活、是否拿到 IP。用nmcli device status和ip addr确认。第三层检查 IP 和网段是否匹配。虚拟机和宿主机的 IP 必须在同一子网子网掩码要一致。第四层检查路由表。用ip route查看默认网关是否正确。如果路由表里没有到宿主机网段的路由包就发出不去。第五层检查防火墙和 SELinux。用firewall-cmd --list-all和getenforce确认。第六层抓包分析。在虚拟机上用tcpdump -i ens33 icmp抓包然后在宿主机 ping 虚拟机看包有没有到达虚拟机。如果到了但没回说明是虚拟机内部问题如果根本没到说明是虚拟化网络层的问题。4.2 典型故障场景宿主机能 ping 通虚拟机但反过来不行这种情况通常说明虚拟机的出站方向有问题。最常见的原因是虚拟机的默认网关配错了或者路由表里缺少到宿主机网段的路由。先看路由表ip route show正常应该有一条default via 192.168.1.1 dev ens33的默认路由。如果没有默认路由虚拟机只能和同网段通信跨网段就不行了。但如果是同网段互 ping不需要默认路由只要有直连路由就行。另一个可能的原因是虚拟机的 iptables 规则里有出站限制。虽然 firewalld 默认不限制出站但如果之前有人手动加过 iptables 规则可能会拦截。查看规则iptables -L -n如果发现 OUTPUT 链有 DROP 规则需要清理或者调整。还有一种情况是 ARP 缓存问题。有时候虚拟机和宿主机的 ARP 表里没有对方的 MAC 地址导致包发不出去。可以尝试清除 ARP 缓存ip neigh flush all然后重新 ping 触发 ARP 解析。4.3 典型故障场景虚拟机 ping 不通宿主机但能上网这个现象很有意思说明虚拟机的出站路由是通的能上网说明默认网关没问题但就是 ping 不通宿主机。这通常是因为宿主机的防火墙拦截了 ICMP 请求。Windows 宿主机默认防火墙是阻止 ICMP 入站的。需要在 Windows 防火墙的高级设置里启用“文件和打印机共享回显请求 - ICMPv4-In”规则。具体操作是打开“高级安全 Windows Defender 防火墙”找到入站规则启用对应的 ICMP 规则。Linux 宿主机的话检查 iptables 或 firewalld 是否放行了 ICMP。有些发行版默认的防火墙规则会丢弃 ICMP。还有一种可能是宿主机有多块网卡虚拟机 ping 的地址是宿主机另一块网卡的地址而那块网卡和虚拟机不在同一个网络里。比如宿主机有线和无线同时连着虚拟机桥接到有线网卡但 ping 的是无线网卡的 IP那肯定不通。4.4 常见问题速查表现象可能原因排查命令解决方法虚拟机无 IPDHCP 未工作或网卡未激活nmcli device status手动配静态 IP 或激活网卡双向都不通网络模式选错虚拟化软件界面查看改为桥接或仅主机模式宿主机 ping 不通虚拟机虚拟机防火墙拦截firewall-cmd --list-all放行 ICMP 或临时关防火墙虚拟机 ping 不通宿主机宿主机防火墙拦截Windows 防火墙设置启用 ICMP 入站规则同网段也不通子网掩码不一致ip addr对比统一子网掩码时通时不通ARP 冲突或 IP 冲突arp -a更换 IP 或清 ARP 缓存能 ping 通但 SSH 连不上SSH 端口未放行firewall-cmd --list-all放行 ssh 服务这张表基本覆盖了 90% 以上的常见问题。遇到问题先对照表格快速定位然后再深入排查。4.5 抓包实战用 tcpdump 定位丢包位置当常规排查都试过了还是不通就需要抓包了。在虚拟机上执行tcpdump -i ens33 -nn icmp然后在宿主机上 ping 虚拟机 IP。观察虚拟机的 tcpdump 输出如果看到ICMP echo request但没有ICMP echo reply说明请求到了虚拟机但虚拟机没有回复。问题在虚拟机内部可能是防火墙拦截了出站 ICMP 回复或者内核参数有问题。如果什么都没看到说明请求根本没到虚拟机。问题在虚拟化网络层或者宿主机到虚拟机的链路上。反过来在虚拟机上 ping 宿主机同时在宿主机上抓包也能判断包有没有到达宿主机。提示tcpdump 需要 root 权限普通用户加 sudo 执行。抓包时可以用-c 10限制抓 10 个包就停止避免刷屏。5. 让配置持久化并避免下次踩坑5.1 NetworkManager 配置的持久化验证用 nmcli 做的配置默认就是持久的会写入/etc/sysconfig/network-scripts/ifcfg-ens33文件。但为了保险还是确认一下cat /etc/sysconfig/network-scripts/ifcfg-ens33应该能看到BOOTPROTOnone、IPADDR192.168.1.100、NETMASK255.255.255.0、GATEWAY192.168.1.1、ONBOOTyes这些关键配置。ONBOOTyes特别重要如果它是 no系统重启后网卡不会自动激活又得手动 up 一次。改完配置文件后重启网络服务nmcli connection reload nmcli connection up ens33或者直接重启系统验证配置是否自动生效。5.2 虚拟机克隆后的 IP 冲突问题很多人配好一台虚拟机后会克隆出多台来做集群实验。克隆出来的虚拟机 MAC 地址会变但 IP 配置文件里的 IP 还是原来的直接启动就会和原虚拟机 IP 冲突导致网络时通时不通。解决方法是在克隆后立即修改 IP 和主机名。CentOS 8 修改主机名hostnamectl set-hostname node2然后修改 IP 配置文件把 IP 改成新的地址。同时检查/etc/hosts文件把旧主机名映射更新掉。另外克隆后网卡的 UUID 也会重复需要重新生成nmcli connection modify ens33 connection.uuid $(uuidgen)或者直接删除旧连接重新创建。5.3 宿主机重启后虚拟机网络失效的处理有时候宿主机重启后虚拟机的网络就不通了。这通常是因为虚拟化软件的虚拟网卡仅主机模式或者桥接驱动没有正常加载。VirtualBox 的话检查虚拟网卡是否还在VBoxManage list hostonlyifs如果虚拟网卡消失了需要重新创建。VMware 的话检查 VMnet1 和 VMnet8 是否正常。桥接模式下宿主机重启后物理网卡可能重新枚举导致桥接失效。这时候需要在虚拟化软件里重新选择桥接的物理网卡。提示如果宿主机经常重启建议把虚拟机网络模式设为仅主机模式这样不依赖物理网卡状态稳定性更好。需要外网的时候再临时切换。5.4 我个人踩过的几个坑第一个坑是子网掩码配错。有一次虚拟机配了 192.168.1.100/24宿主机是 192.168.1.50/16看起来 IP 前缀一样但子网掩码不同导致实际不在同一个子网。宿主机认为 192.168.1.100 在 192.168.0.0/16 网段内虚拟机认为宿主机在 192.168.1.0/24 网段内双方对网络的认知不一致通信就出问题了。所以配 IP 的时候一定要确认子网掩码一致。第二个坑是虚拟化软件的虚拟网卡被系统防火墙拦截了。Windows 上安装 VirtualBox 或 VMware 后系统防火墙可能会把虚拟网卡识别为“公用网络”然后默认阻止入站。需要在防火墙设置里把虚拟网卡对应的网络改为“专用网络”或者手动放行。第三个坑是 NetworkManager 和 network-scripts 冲突。CentOS 8 同时存在两套网络管理工具如果手动改了 network-scripts 文件又用 nmcli 操作可能会互相覆盖。建议统一用 nmcli不要混用。第四个坑是虚拟机时间不同步导致证书验证失败间接影响网络服务。虽然不影响 ping但会影响 SSH 密钥交换等操作。建议开启 chronyd 时间同步systemctl enable --now chronyd这些坑看起来都是小问题但排查起来很费时间。提前知道就能少走弯路。5.5 验证双向连通性的完整检查清单最后给一个完整的验证清单配好之后按顺序执行一遍确保万无一失虚拟机内ip addr确认 IP 和子网掩码正确虚拟机内ip route确认默认网关正确宿主机ipconfig或ip addr确认 IP 和子网掩码对比两者是否在同一子网虚拟机 ping 宿主机 IP确认通宿主机 ping 虚拟机 IP确认通虚拟机 ping 外网地址如 223.5.5.5确认能上网桥接模式宿主机 SSH 连虚拟机确认端口可达重启虚拟机和宿主机再次验证以上步骤这个清单走一遍基本能覆盖所有常见问题。如果还有不通的就回到第 4 节的抓包方法逐层定位。网络配置这件事理论看着简单实际操作中变量太多。虚拟化平台版本、宿主机操作系统、网络环境、安全软件任何一个因素都可能让配置失效。我自己的经验是每换一个新环境都按这套流程重新走一遍不要假设之前的配置能直接复用。尤其是 IP 网段不同环境的局域网网段可能完全不同照搬配置很容易出问题。