虚拟机去np，意思是移除或解除虚拟机网卡上绑定的网络策略（Network Policy），让数据包不再被虚拟交换机、安全组或SDN控制器过滤，从而获得不受限的网络访问能力。 这个操作在抓包调试、内网穿透测试、游戏多开或合规审计中很常见，但不同虚拟化平台的取消方式差异较大,下面按主流平台拆解具体操作。
虚拟机去np是什么意思？为什么会有这种需求
NP是Network Policy的缩写，在虚拟化环境中通常指作用于虚拟机网卡的安全过滤规则，包括安全组、分布式防火墙、端口组的混杂模式限制、MAC地址欺骗防护等，虚拟机去np就是把这些限制全部关闭或调整为“接受”状态。
去NP的核心场景一般有三种：
- 网络抓包或流量分析时，需要网卡进入混杂模式，否则只能收到目标为自身的数据包。
- 业务系统需要绑定多个内网IP，但虚拟交换机默认禁止MAC地址更改。
- 排查网络故障时，需要暂时绕开所有ACL和SDN微隔离策略,确认问题是否出在下发策略本身。
不去NP，最常见的影响就是：虚拟机内看到的现象与物理机不一致，比如ping不通、端口探测无响应、ARP请求被抑制，行业共识认为，去NP是网络排障流程中一个非常靠后的手段，做之前必须先备份策略，并在测试网络里操作。
虚拟机去np具体操作步骤有哪些？主流平台逐一讲清楚
在VMware vSphere / ESXi中取消网络策略
VMware里的NP主要体现在标准交换机或分布式交换机端口组的“安全”选项卡里，操作路径如下：
- 登录vCenter Server，在“清单”中找到目标虚拟机。
- 点击“配置” > “虚拟网络” > “网卡”。
- 记录虚拟机网卡所关联的“端口组”名称。
- 在左侧导航栏进入“网络”，找到该端口组。
- 右键端口组，选择“编辑设置”。
- 在“安全”页签下，将“混杂模式”“MAC地址更改”和“伪传输”都改为“接受”。
- 点击“确定”后,等待端口组策略重新下发。
如果使用的是NSX网络，还需要额外解除分布式防火墙策略：
- 进入NSX Manager的“安全” > “策略管理”。
- 找到该虚拟机关联的防火墙规则或微隔离分组。
- 将规则从“强制”切换为“监测”，或直接删除对应规则段。
这一步能有效去除SDN层的NP限制,但只改端口组则覆盖不了NSX。
在OpenStack或云主机控制台上解除安全组策略
大多数基于OpenStack的企业私有云，NP直接映射为安全组规则，操作流程：
- 登录Horizon控制台，进入“项目” > “计算” > “实例”。
- 找到目标虚拟机，查看“安全组”列。
- 点击安全组名称，进入“管理规则”。
- 删除所有阻断方向的出口/入口规则，或新增一条放行所有流量的规则。
- 如果云底座使用了Neutron的ACL，还需要在“网络” > “安全组”里再确认一次绑定关系。
在华为云、OpenStack等平台，删除安全组规则是即时生效的，通常不需要重启虚拟机。
在Hyper-V中关闭虚拟交换机安全策略
Hyper-V的NP一般集成在虚拟交换机“安全”属性和虚拟网卡的“高级功能”里，操作步骤：
- 打开“Hyper-V管理器”，选择宿主机。
- 在右侧“操作”面板点击“虚拟交换机管理器”。
- 选择当前虚拟机连接的外部或内部虚拟交换机。
- 在“安全”页签中，勾选“启用MAC地址欺骗”和“启用驱动程序卸载”。
- 点击“确定”后，回到虚拟机设置。
- 给虚拟网卡添加“高级功能”，将“端口安全”中的“动态MAC地址”设置为“允许”。
这一步本质上是让Hyper-V转发层不再过滤目标MAC和源MAC不一致的帧,属于功能性去NP。
在KVM / 虚拟化平台上通过流表去NP
基于KVM的云平台通常使用OVS（Open vSwitch）实现网络策略，如果虚拟机流量被OVS流表拦截，可以这样处理：
- 登录宿主机，使用
ovs-ofctl dump-flows <br名称>查看当前流表。 - 找到匹配虚拟机IP或端口的drop规则。
- 使用
ovs-ofctl del-flows <br名称> <匹配条件>删除对应流表项。 - 或者在控制器端（如OpenFlow控制器）把该虚拟机的安全组策略清空。
这种方式更底层，操作前一定要先导出流表备份,避免误删其他业务策略。
虚拟机去np和关闭防火墙有什么区别？别混为一谈
很多人以为去NP就等于关掉虚拟机里的防火墙，实际上是两码事，虚拟机内部的iptables或Windows防火墙作用在操作系统协议栈内，而NP作用在虚拟网络转发层,两者是不同层级的东西。
| 对比项 | 虚拟机去NP | 关闭虚拟机防火墙 |
|---|---|---|
| 作用位置 | 虚拟交换机、端口组、SDN控制器 | 操作系统内部网络协议栈 |
| 生效对象 | 所有到达虚拟网卡的外部帧 | 本机进程进出的TCP/UDP包 |
| 风险等级 | 较高，会影响同一物理宿主机上的其他VM | 较低，仅影响该虚拟机 |
| 扫描兼容性 | 解决ARP、混杂模式、MAC变更问题 | 解决端口connect超时问题 |
| 持久性 | 视平台而定，端口组级别重启不失效 | 重启后依赖防火墙服务配置 |
用具体例子来说，如果虚拟机去NP之后仍然ping不通外部网关，那问题多半出在虚拟机内部的iptables规则或者路由表上；如果去NP之前抓包工具收不到镜像流量，去NP之后就恢复正常,那说明确实是NP在阻断。
虚拟机去np失败怎么排查？按顺序做三步
去NP不像点个按钮那么简单，有时候页面显示修改成功，但流量仍然受限，遇到“虚拟机去np失败”的情况,按下面顺序排查。
先确认策略下发范围。
- 在vCenter中，看端口组修改是否已同步到所有关联主机。
- 如果虚拟机在集群内迁移过，端口组名称变了，策略会丢失，需要重新挂接。
- 在NSX场景下，还要看分布式防火墙的“监测”模式是否真的生效。
接着检查网卡属性。
- 在虚拟机内执行
ip link或“网络连接”查看网卡是否已启用混杂模式。 - VMware虚拟机需要确认安装的是VMXNET3驱动，旧版e1000网卡可能不支持某些特性。
- 如果网卡卸载了VMware Tools，部分高级网络功能会失效,需要重新安装后重启。
最后看底层物理网络。
- 宿主机物理交换机端口如果开了“端口安全”或“动态ARP检测”，会在更外层拦截流量。
- 这种情况下，去NP只解决了虚拟化层的问题,物理交换机策略仍需调整。
虚拟机去np是否安全？值得关心的三个风险点
去NP不是无代价的，业内专家指出，把虚拟机完全暴露在无策略网络中，风险比想象中大得多,尤其在生产环境里。
第一个风险是ARP欺骗扩散，当虚拟交换机的“MAC地址更改”设置为“接受”后，恶意VM可以伪造网关MAC地址，导致同宿主机上的其他虚拟机流量被劫持，即使每个VM都有安全组，但NP层被移除后，安全组也只能保护IP层,无法防护二层的ARP攻击。
第二个风险是抓包数据的合规性，在金融、政务等内网中，去NP抓包可能会捕获到其他租户或业务系统的敏感流量，一旦数据落地后管理不善,容易触发数据安全合规问题。
第三个风险是动态策略漂移，因为去NP通常只是临时操作，很多管理员改完之后忘了恢复“拒绝”模式，后来虚拟机上线的业务不与安全组匹配，整个网络的安全基线就出现缺口。建议去NP后隔一段时间强制恢复，并检查一切正常。
虚拟机去NP需要多久？有没有快速判断法
在vSphere和OpenStack中，策略改动通常在几秒到几十秒内生效，具体取决于SDN控制器下发速度和网络规模，Hyper-V的虚拟交换机安全设置也是立即生效,不需要重启服务。
一个快速判断方法是：在虚拟机内部开启抓包工具，观察是否收到非本机MAC的广播帧，如果能收到，说明混杂模式已经生效，如果过了两分钟仍没有任何变化，极大可能是物理交换机或Top-of-Rack设备还有一层限制。
Q&A：虚拟机去np相关高频问题
虚拟机去np后重启虚拟机，设置会丢吗？
不会丢，只要是在端口组、安全组或虚拟交换机层面修改的NP，重启虚拟机后依然保留，因为策略储存在虚拟化平台配置中，而不是虚拟机的操作系统里，但如果只是临时用命令行清除OVS流表，没有导入配置持久化文件，重启宿主机后流表会恢复,需要重新操作。
虚拟机去np后收不到广播包，怎么排查？
首先在虚拟机内确认网卡已开启混杂模式，比如Linux下用 ip link set eth0 promisc on，然后查看端口组“安全”页签是否已把“混杂模式”设为“接受”，如果设置无误但依然收不到，检查上游物理交换机是否开启了“端口侦听”或“IGMP snooping”，这些功能会过滤不必要的泛洪流量,与虚拟化层无关。
虚拟机去np对性能有影响吗？
绝大多数情况下没有明显的性能损失，虚拟交换机接收混杂模式的流量时，CPU占用会有所上升，尤其在广播流量很大的环境中，正常情况下，一个64核宿主机接收几Gbps的镜像流量，CPU增幅在个位数百分比以内,生产环境不建议长期开启。
虚拟机去NP是网络排障和复杂业务部署的实用技巧，操作核心是找到对应虚拟化平台的策略入口，把安全限制从“拒绝”切换为“接受”，同时做好备份和恢复计划。 只要清楚自己为什么去NP，以及去完之后怎么补回来,这个操作就能安全高效地解决问题。