VMware 三大網路模式深度解析：Bridge、NAT、Host-Only

虛擬機網路拓撲圖解與底層原理

VMware Workstation 提供三種網路模式：**Bridge（橋接）**、**NAT（網址轉換）**、**Host-Only（僅主機）**。理解其底層機制，才能靈活搭建測試環境、解決連線問題。本文結合原理圖解、實驗驗證與配置指南，深度剖析三種模式。

一、Bridge 模式：虛擬機直連物理網段

原理： 虛擬網卡透過 vmnet0（二層橋接設備）直接橋接到宿主機實體網卡所在網段。虛擬機獲取與宿主機同網段的 IP（靜態或 DHCP），在區域網路中與實體機平級可見。

優點： 設定簡單，虛擬機可直接訪問區域網資源、被其他機器訪問。

缺點： 非 DHCP 環境易發生 IP 衝突；虛擬機暴露在區域網，安全性較低。

拓撲： VM NIC ↔ vmnet0 (Bridge) ↔ Physical NIC ↔ LAN

二、NAT 模式：虛擬機隱藏於 NAT 代理之後

原理： 虛擬網卡連接 vmnet8（三層 NAT 設備）。VMware 以**用戶態進程 (vmnet-natd)** 實現 NAT，而非核心層封包轉發。虛擬機發起的連線被 NAT 進程攔截，由宿主機身份重新發起連線，再將回應轉發給虛擬機。

關鍵實驗證明：

1. 宿主機防火牆僅允許 TCP SYN 封包輸出，丟棄所有回封包與輸入。
2. 虛擬機 telnet 74.125.128.94 80（只能發 SYN）。
3. 宿主機 lsof -p 顯示 NAT 進程已與目標建立 ESTABLISHED 連線。
4. 抓包對比：虛擬機端與宿主機端同一連線的序列號/確認號**不一致**，證明非傳統 NAT（不修改序列號），而是應用層代理。

副作用： 目標主機連線統計可能不準（虛擬機未真連成功，宿主機 NAT 卻已建連）；某些協議（如 FTP 主動模式、IPsec）可能受阻。

拓撲： VM NIC ↔ vmnet8 (NAT Device/User-space Proxy) ↔ Host Physical NIC ↔ Internet

三、Host-Only 模式：純粹的雙機直連

原理： 虛擬網卡與宿主機虛擬網卡 vmnet1 直接相連，構成隔離的私有網路。預設無外網訪問能力。

讓虛擬機上網（將宿主機作路由器）：

1. 虛擬機預設閘道指向宿主機 vmnet1 IP。
2. 開啟宿主機路由轉發：
   • Linux: sysctl -w net.ipv4.ip_forward=1
   • macOS: sysctl -w net.inet.ip.forwarding=1
   • Windows: 啟用註冊表 Tcpip\Parameters\IPEnableRouter=1
3. 配置 SNAT（出口偽裝）或純路由（需控制回程路由）：
   • Linux: iptables -t nat -A POSTROUTING -o <外網卡> -j MASQUERADE
   • Windows: 網卡屬性→共用→勾選「允許其他網路使用者透過此電腦連線」。

拓撲： VM NIC ↔ vmnet1 (Host-Only Switch) ↔ Host vNIC ↔ (Routing/SNAT) ↔ Internet

四、vmnetX 虛擬網卡對照表

每種模式均可掛載 DHCP 服務為虛擬機分配 IP。可在「虛擬網路編輯器」中自訂 vmnet 分配。

選型建議

• Bridge： 需虛擬機作為獨立網路節點（如架設伺服器、測試網路服務）。
• NAT： 日常上網、下載、大多數客戶端測試；注意協議相容性。
• Host-Only： 完全隔離的實驗環境、惡意碼分析、內網模擬；配合路由可上網。