虚拟机识别端口只是第一步，后续的访问权限配置才是决定服务能否被正确访问的关键，核心思路是分清网络模式、配好宿主机防火墙、再管理虚拟机内部防火墙三件事。
端口识别后，先分清三种访问路径
配置访问权限之前，得先搞清楚虚拟机是怎么“暴露”出来的，不同网络模式下，端口对外的可见性完全不同,配置方法也各不相同。
桥接模式下的端口访问
桥接模式相当于虚拟机直接插在物理交换机上，和宿主机处于同一局域网，虚拟机有自己的独立IP，这种模式下，端口天然对外可见,无需做端口转发。
配置重点反而在宿主机和虚拟机的防火墙上，局域网内其他机器访问虚拟机时，路径是：发起请求 → 虚拟机防火墙 → 虚拟机内的服务，宿主机在这一路径中基本透明,但要注意宿主机自带的防病毒软件或安全软件可能拦截跨网段流量。
NAT模式下的端口访问
NAT模式是VMware Workstation和VirtualBox默认的模式，也是最容易把端口“藏起来”的模式，虚拟机通过宿主机共享IP上网,外部设备无法直接看到虚拟机的端口。
要让外部设备访问NAT模式下虚拟机的端口，必须在虚拟机管理软件中配置端口转发规则，比如VMware Workstation里，路径是：编辑 → 虚拟网络编辑器 → 选择VMnet8 → NAT设置 → 添加端口转发，这里要填写宿主机端口、虚拟机IP和虚拟机端口。
VirtualBox的路径类似：设置 → 网络 → 高级 → 端口转发，规则格式为“规则名、协议、宿主机IP、宿主机端口、虚拟机IP、虚拟机端口”。
仅主机模式的端口访问
仅主机模式最封闭，虚拟机和宿主机组成一个独立网络，只有宿主机能直接访问虚拟机，外部设备想访问时，必须先通过宿主机做中转，或者给宿主机加一块桥接网卡,把流量路由进去。
这个模式下配置访问权限，通常建议改为NAT模式或者桥接模式,除非有特殊的隔离需求。
VMware Workstation端口访问设置：实操指南
VMware Workstation是桌面端最常用的虚拟机软件，配置端口访问权限的步骤比较典型,值得单独拆开讲。
第一步：确认虚拟机的IP地址
配置任何规则之前，先确认虚拟机当前实际使用的IP地址，在虚拟机里执行 ip addr（Linux）或 ipconfig（Windows），记下来，这里有个常见坑：如果把虚拟机的网络设置为DHCP自动获取，重启后IP可能会变，导致端口转发规则失效,建议给虚拟机配置静态IP。
第二步：测试虚拟机本机端口是否正常
在虚拟机里用 netstat -tlnp（Linux）或 netstat -ano | findstr 端口号（Windows）确认端口正在监听，如果端口没监听，后面所有配置都白搭，还可以在虚拟机里用 curl localhost:端口号 或浏览器访问 0.0.1:端口号,确认服务本身没毛病。
第三步：配置VMware的端口转发规则
打开虚拟网络编辑器，选中NAT模式对应的VMnet8，点NAT设置,弹出的窗口底部有端口转发区域。
举个具体例子：虚拟机里跑了一个Web服务监听8080端口，你想让局域网同事通过宿主机IP的8080端口直接访问，那就在端口转发里加一条规则，宿主机端口填8080，虚拟机IP填刚才查到的地址，虚拟机端口填8080，保存之后，同事用 http://宿主机IP:8080 就能打开了。
这里有个容易忽略的点：如果宿主机端口被其他程序占了，转发规则会生效失败，可以先在宿主机上执行 netstat -ano | findstr 8080 检查一下。
第四步：放行宿主机防火墙
即便VMware配置了转发规则，宿主机防火墙不放行宿主机端口，外部依然访问不了，在Windows宿主机上，需要进入 Windows Defender防火墙 → 高级设置 → 入站规则，新建一条允许TCP端口8080连接的规则，范围可以限定为“局域网”或者更精确的IP段,不要直接允许所有来源。
Linux宿主机上的做法类似，如果用的是ufw，执行 sudo ufw allow 8080/tcp 即可；如果用的是firewalld，执行 sudo firewall-cmd --permanent --add-port=8080/tcp && sudo firewall-cmd --reload。
虚拟机防火墙规则在访问权限中的决定性作用
很多人配置完宿主机防火墙就以为大功告成，结果还是连不上,大概率是虚拟机内部的防火墙把流量拦截了。
Windows虚拟机自带Defender防火墙，默认情况下对来自局域网和公网的连接限制较严，可以在虚拟机内打开防火墙设置，找到“允许应用通过防火墙”，把你运行的服务加进去，也可以直接新建入站规则,放行特定端口。
Linux虚拟机的防火墙常见的是iptables和firewalld，CentOS和Rocky Linux默认启用firewalld，开放端口用 sudo firewall-cmd --permanent --add-port=端口/tcp && sudo firewall-cmd --reload，Ubuntu和Debian默认用ufw，开放端口用
sudo ufw allow 端口/tcp。
还有个容易被忽视的问题：虚拟机内部的iptables规则可能存在优先级冲突，有时候firewalld或ufw显示的规则已经开放了某个端口，但实际连接还是被DROP，这往往是因为存在更底层的iptables链规则，用 iptables -L -n -v 检查一下有没有突兀的DROP规则,按需删除或调整。
虚拟化平台安全组策略和网络隔离，让配置更稳妥
如果用的是云平台的虚拟机，比如简米云ECS、酷番云CVM，或者公司内部的OpenStack平台，情况又不一样了，这些平台的虚拟化层有安全组机制,端口配置逻辑和本地VMware有较大差异。
安全组和本地防火墙的区别
安全组是一种虚拟化的网络访问控制，作用在虚拟机的网卡层面，不经过虚拟机操作系统内部，换句话说，安全组规则在流量进入虚拟机系统之前就生效了,而本地防火墙是虚拟机操作系统内部再过滤一道。
配置访问权限时，这两层都要看清楚，安全组放行了端口，本地防火墙没放行，访问还是不通；反之亦然。
安全组配置的常见误区
不少人在云平台上配置安全组时，习惯把源IP范围设为 0.0.0/0，也就是允许所有IP访问，从访问权限的角度看，这个极端宽松的做法隐患很大，即便端口映射和防火墙配置没问题，强烈建议把源IP范围限制为办公网出口IP,或者特定合作伙伴的IP段。
安全组的优先级和默认策略也值得关注，有些平台的默认策略是拒绝所有入站流量，你放行了一条规则，另一条隐性的拒绝规则优先级更高的话，规则就白配了，配置完成后，用第三方在线端口检测工具从外部测一下,能直接暴露问题。
主机网络策略对端口访问的影响
在KVM等半虚拟化环境中，虚拟机的网络流量通过宿主机上的Linux Bridge或Open vSwitch转发，这些虚拟交换机上的流量过滤规则也会影响端口访问，排查思路是：先看虚拟机内部防火墙，然后看宿主机上的iptables规则,最后看虚拟交换机配置。
虚拟机端口不通怎么排查：从链路视角逐层检查
配好了访问权限，还是连不上，这种场景太常见了，按照下面的顺序排查,能快速定位问题出在哪一层。
第一层：确认虚拟机内服务真的在监听
用 ss -tln 检查端口监听状态，看清楚监听地址是 0.0.0 还是 0.0.1，如果服务只监听了回环地址，外部流量根本进不来，在配置文件里把绑定地址改成
0.0.0,然后重启服务。
第二层：在虚拟机内测通本地回环
在虚拟机里执行 curl http://localhost:端口，能通说明服务进程正常，这一步如果失败，问题大概率在应用本身,和网络配置无关。
第三层：从宿主机测虚拟机IP的端口
在宿主机上执行 telnet 虚拟机IP 端口 或者 nc -zv 虚拟机IP 端口，通了，说明虚拟机内部防火墙和网络栈没问题，问题出在宿主机到外部的链路；不通,问题在虚拟机防火墙或网卡配置。
第四层：从局域网其他机器测宿主机IP的端口
在外网机器上访问宿主机IP对应的端口，这一步能验证端口转发规则和宿主机防火墙是否正确，不通的原因多数是宿主机防火墙没放行,或者端口转发规则的IP填写有误。
第五层：检查路由和网关
如果虚拟机配置了多个网卡，或者宿主机上有多个网络接口，还可能存在路由表优先级的问题，在虚拟机里用 ip route 确认默认网关指向正确的接口，如果默认网关指错了网卡，外部流量响应包就走错路,表现特征是请求超时但抓包能看到流量进来。
Q&A：虚拟机端口访问权限配置常见疑问
VMware中NAT模式和桥接模式，端口配置哪个更复杂？
NAT模式更复杂，因为它需要额外配置端口转发规则，桥接模式直接使用局域网地址，端口天然可达，主要工作是配置好防火墙，如果你的虚拟机上跑的是数据库或生产服务，桥接模式更直观；如果只是日常开发调试,NAT模式加上端口转发完全够用。
为什么配置完端口转发，虚拟机端口还是从外面访问不了？
很大概率是三层因素叠加：第一，虚拟机内部防火墙没有放行该端口；第二，宿主机防火墙没有放行要转发的宿主端口；第三，端口转发规则里的虚拟机IP填错了，特别是DHCP分配的IP发生变化时尤其常见,按前文排查顺序逐层验证即可。
云服务器安全组和本地虚拟机防火墙，配置优先级是怎样的？
它们没有先后之分，而是串联关系，安全组放行流量后，流量才能到达虚拟机网卡，随后虚拟机防火墙再过滤一次，任何一层拒绝，访问都不会成功，配置时建议先在安全组放行，再配置虚拟机内部防火墙,测试通过后再把安全组规则收敛到最小必要范围。