虚拟机要让外部网络访问，核心是把虚拟机内部的web服务端口映射到宿主机或公网IP上，最常用的三种做法是NAT模式端口转发、桥接模式直连、以及借助反向代理或内网穿透工具。没有公网IP，就用frp；有公网IP，优先做端口映射；生产环境，直接用反向代理把域名指过来，下面按场景拆开讲,每一步都写到能照着操作的程度。
先把需求分清楚：你要的是哪一种“外部访问”
很多人上来就问“怎么让虚拟机被外网访问”，但实际上“外部”这个词涵盖了几种完全不同的场景,选错方案会浪费大量时间。
- 场景A：宿主机访问虚拟机。比如你在这台电脑上的VMware里开了个Linux，想让本机的浏览器打开虚拟机里的网站，这不算真正的“外网”,只是跨网段访问。
- 场景B：局域网内其他设备访问虚拟机。比如办公室的另一台电脑、手机,要访问你虚拟机里的web服务。
- 场景C：互联网上的任意设备访问虚拟机。你在家部署了一个个人网站或者测试项目，想让客户、朋友从公网打开。
行业共识认为，大多数人的真实需求是从场景B跳到场景C。如果你只是在局域网里用，桥接模式是最省事的；如果涉及公网，就要考虑运营商是否给了你公网IP、是否屏蔽了80端口、是否有备案,这些前置条件比虚拟机本身的配置更能决定成败。
NAT模式 + 端口映射，最稳妥的“半公网”方案
这是最常见、也最容易踩坑的配置，VMware和VirtualBox默认的网络模式就是NAT，虚拟机通过宿主机上网，外部设备看不到虚拟机本身，只能看到宿主机，你的任务就是把宿主机的某个端口“转交”给虚拟机里的web服务。
VMware Workstation 操作步骤
- 在虚拟机设置里，把网络连接改为NAT模式。
- 打开VMware菜单栏的“编辑” -> “虚拟网络编辑器”。
- 选中NAT模式（通常名为VMnet8），点击“NAT设置”。
- 在端口转发区域，点击“添加”，填入：
- 主机端口：比如8080（不要用80,容易被占用）
- 类型：TCP
- 虚拟机IP地址：比如168.111.128
- 虚拟机端口：80（你nginx或Apache监听的端口）
- 确定保存后，启动虚拟机，确保里面的nginx监听在0.0.0.0:80。
VirtualBox 操作步骤
- 虚拟机设置 -> 网络 -> 连接方式选“NAT”。
- 点击下面的“端口转发”按钮。
- 添加一条规则：协议TCP，主机端口8080，子系统端口80,子系统IP填虚拟机的IP地址。
关键点在于虚拟机内部IP地址的稳定性。NAT模式下，虚拟机的IP可能因为DHCP租约变化而变动，建议在虚拟机内部设置静态IP，或者用固定DHCP绑定（VMware的虚拟网络编辑器里可以勾选“DHCP设置”，按MAC地址绑定IP）。
配置完成后，能否用宿主机IP+8080端口打开？如果打不开，先检查宿主机防火墙，Windows系统要放行对应端口，Linux下检查iptables或firewalld。这里反馈最常见的问题是“明明映射了，就是访问不了”，八成是防火墙拦住了宿主机的入站流量。
桥接模式，让虚拟机“变成”局域网里的一台独立设备
如果你追求的是局域网内其他设备直接访问虚拟机，桥接模式是比端口映射更解耦的选择，桥接模式下，虚拟机直接使用宿主机的物理网卡与局域网通信，相当于一台独立的电脑,有自己的IP地址。
具体操作要点
- VMware里选择“桥接模式（自动）”，VirtualBox里选“桥接网卡”。
- 确保自动获取的IP与宿主机在同一网段，家用的常见路由器网段是168.1.x或168.0.x，办公网常是x.x.x或16.x.x。
- 虚拟机里把web服务跑起来，确保监听0.0.0.0而不是仅127.0.0.1。
- 在其他设备浏览器输入虚拟机IP，如果加上端口（比如8080）,确保虚拟机防火墙允许访问该端口。
桥接模式有些常见的坑：
- 无线网卡环境兼容性差，如果宿主机连着Wi-Fi，部分无线网卡驱动对桥接支持不好，上网和桥接不能同时正常,这时改用有线网卡或换成NAT端口映射。
- 路由器开启了AP隔离，很多路由器在访客网络或Wi-Fi设置里有“AP隔离”选项，把它关掉,否则设备之间互访被阻。
- 虚拟机IP冲突，手动配置静态IP时，不要和路由器DHCP地址池重叠,不然可能被分配到别的设备。
用桥接模式时，虚拟机暴露在局域网内，任何同一网段的设备都能扫到它，如果你的web服务是测试用的非加密HTTP，尽量别在公共Wi-Fi环境里用，容易被抓包，多数情况下,桥接模式下的web服务更适合在可信网络中使用。
反向代理做专业入口，适合有域名和固定公网IP的用户
如果你的目标是给外部互联网访问，并且已经有了一台公网IP的服务器（云服务器或家里拉了专线），那么不需要对虚拟机做任何特殊网络设置，你需要的是一台反向代理服务器,把公网流量转发到虚拟机的web服务上去。
为什么要有反向代理这一层
- 外部请求直接敲在宿主机或云端服务器的73端口（HTTPS）上,代理把请求转发到内网虚拟机。
- 可以在代理层统一做SSL证书、访问控制、日志记录、限流,不用每个虚拟机单独处理。
- 避免把虚拟机的真实IP直接暴露在公网,增加一层抵御恶意扫描的缓冲。
用Nginx做反向代理的实操逻辑
假设宿主机IP是1.2.3.4，虚拟机IP是192.168.111.128,web服务监听8080端口。
在宿主机Nginx配置文件里添加：
server {
listen 80;
server_name yourdomain.com;
location / {
proxy_pass http://192.168.111.128:8080;
proxy_set_header Host $host;
proxy_set_header X-Real-IP $remote_addr;
}
}记得重启Nginx，如果代理后页面样式错乱或一直跳转登录，多半是url重写和Host头没处理好,需要增加proxy_set_header配置。
反向代理模式下，域名解析是另一个关键点。你的域名需要解析到宿主机或云服务器的公网IP上，如果域名在国内服务器上使用，还需要完成ICP备案,否则80端口和443端口会被运营商拦截。
进阶场景：没有公网IP怎么办？内网穿透与虚拟专用网络
很多家庭宽带用户没有固定的公网IP，也就无法直接在路由器上做端口映射，这种情况下,最常见的两个思路是frp内网穿透和虚拟专用网络。
frp，轻量级内网穿透
需要有公网IP的服务器（国内云厂商最便宜的1核2G即可）作为中转，在公网服务器上运行frps服务端，在虚拟机或宿主机上运行frpc客户端,把虚拟机的web端口映射到公网服务器的某个端口。
- 优点：配置简洁，只要下载frp压缩包，改两行toml配置就能跑起来，支持TCP、UDP、HTTP、HTTPS。
- 缺点：流量全部经过中转服务器，带宽取决于服务器配额,人多的时候访问会卡。
虚拟专用网络，回到局域网的感觉
在宿主机或虚拟机里部署一个虚拟专用网络服务端，外部设备连接到这个虚拟专用网络后，直接通过虚拟专用网络分配的虚拟IP访问虚拟机，这个方案的安全性较高，因为对外不开放任何Web端口，只是开了一个加密通道，但它对用户使用门槛高，外部用户必须提前配好虚拟专用网络客户端,不适合公开网站访问。
当你只是想自己在外出差时访问家里的虚拟机web后台管理页面，这个方式是很合适的。
安全避坑清单：别因为端口映射直接裸奔
端口映射打开容易，但也是伪安全的重灾区，虚拟机的web服务一旦暴露到公网，就成为被扫描的重点目标，业内专家指出，公网暴露的默认端口（22、80、3389）在200秒内就会遭遇第一轮自动化扫描攻击。做任何映射之前,先过一遍下面的安全清单：
- 修改默认服务端口，把SSH改到非标准端口，把web服务端口改成高位端口（比如8080、18080）,能过滤掉相当一部分全端口扫描器。
- 限定来源IP，路由器的端口转发规则里，只允许固定IP访问,或者用云服务器的安全组策略限定来源网段。
- 启用防火墙，虚拟机内部启动firewalld（CentOS）或ufw（Ubuntu）,只放行需要的端口。
- 定期看日志，nginx的access.log里，留意大量404、HEAD请求和奇怪User-Agent的连续请求,那就是扫描器。
如果你是纯个人学习或测试用途，建议用完就关掉对应映射，不要长期挂在公网上，在实际项目中，如果对外服务对稳定性有要求，优先考虑云服务器加生产环境的反向代理方案,而不要用家里宽带跑一个虚拟机上硬抗。
常见问题排查Q&A
Q1：端口映射做完后，宿主机能访问，但局域网其他电脑打不开？
先确认宿主机防火墙是否放行了对应端口，Windows下用“高级安全Windows Defender防火墙”添加入站规则；Linux下检查firewall-cmd --list-all或iptables -L -n，再确认虚拟机的网络模式是NAT还是桥接，如果其他电脑和宿主机不在同一网段，情况会复杂很多,尽量保持局域网网段一致。
Q2：虚拟机里的web服务是HTTPS，映射后浏览器提示证书不信任？
NAT端口转发和桥接模式只做包转发，不参与TLS识别，证书问题完全由虚拟机内的web服务负责，如果你在本地测试环境使用了自签名证书，外网访问自然不通过，生产环境建议在反向代理层用Let's Encrypt签发正式证书，代理和虚拟机之间的传输可以使用HTTP或自签名协议内部传输,这是默认的信任模型。
Q3：家里宽带有公网IP，但外网访问超时，是不是被封锁了？
据工信部备案管理办法，国内家用宽带的80端口和443端口在多数运营商网络下默认封锁，即使具备动态公网IP也无法直接用默认端口提供网页服务，解决办法是使用非标准端口（例如8080、8443）做映射，或者通过云服务器中转（frp方案）,把域名解析到云服务器IP上由它转发流量。