在 VMware 里配端口映射，端口十有八九你最后会卡在一个地方：NAT 设置里那个“端口转发”按钮点进去，映射填完 IP 和端口，端口发现外网还是映射连不上。不是端口配置没生效，是映射 NAT 本身有个坑——它默认只让虚拟机往外跑，不让外面主动进来。端口端口映射就是映射给外面开一扇小门。

我拿 VMware Workstation 举例。端口你装好虚拟机，映射网络模式选 NAT，端口虚拟机拿到一个 192.168.x.x 的映射地址，宿主机是端口 192.168.1.100 之类的。这时候你在虚拟机里跑个 Web 服务，映射监听 80 端口。端口宿主机浏览器访问那个 192.168.x.x 能打开，但同一局域网的另一台电脑访问宿主机的 IP 加 80，没反应。原因很简单：NAT 网络是一个独立子网，宿主机做了路由，但没做反向的端口转发。

打开 VMware 的“虚拟网络编辑器”，选 VMnet8（NAT 模式默认用的），点“NAT 设置”。里面有个“端口转发”区域，添加一条规则。主机端口填 8080，类型 TCP，虚拟机 IP 填你虚拟机实际的地址，比如 192.168.152.128，虚拟机端口填 80。描述随便写“web”。保存，应用。

现在外部机器访问 宿主机IP:8080，流量会先到宿主机的 8080，VMware 的 NAT 服务把它转给虚拟机的 80。虚拟机回包时，源地址是虚拟机的 IP，NAT 服务再改回宿主机的 IP 和端口。这个过程对两边都是透明的。

但有几个细节容易翻车。第一，虚拟机的 IP 必须是静态的，或者你在 DHCP 里绑定了 MAC。否则虚拟机重启后 IP 变了，转发规则指向一个不存在的地址，直接失效。我见过有人用 DHCP 拿了 .128，第二天变成 .129，然后花一上午查防火墙。

第二，宿主机的防火墙。Windows 防火墙默认会拦掉入站的 8080。你得手动加一条入站规则，允许 TCP 8080。很多人只盯着 VMware 的配置，忘了系统防火墙这一层。

第三，协议类型别选错。TCP 和 UDP 是分开的。你跑游戏服务器或者某些流媒体，可能两个都要加。只加 TCP 的话，UDP 流量照样被丢。

第四，如果你用的是 VMware Workstation Pro 的“桥接模式”，根本不需要端口映射。桥接模式下虚拟机直接拿物理网络的 IP，和宿主机平级，外网直接访问虚拟机的 IP 就行。端口映射只在 NAT 模式下有意义。有人明明桥接了，还去配 NAT 转发，纯属白费功夫。

还有一种情况：你在虚拟机里跑了 Docker，容器又做了一层端口映射。比如虚拟机 80 转给容器 8080。那你 VMware 的转发规则要指向虚拟机的 80，而不是 8080。两层 NAT 叠在一起，漏掉一层就通不了。我一般建议直接让容器用 host 网络，或者干脆把服务跑在虚拟机本体上，少一层折腾。

ESXi 上的端口映射不一样。ESXi 没有 Workstation 那种 NAT 设置界面，你得在虚拟机的虚拟交换机或者外部防火墙（比如 pfSense 虚拟机）上做。或者用 ESXi 的“端口转发”功能，但那个藏得比较深，在“网络”->“端口组”->“安全”策略里，而且只对特定流量有效。大多数人在 ESXi 上直接用桥接，然后靠物理路由器做端口转发，更省事。

测试的时候别用宿主机自己访问宿主机IP:8080。有些 NAT 实现不支持发夹弯（hairpin NAT），你会以为没配好，其实外网已经通了。找另一台电脑，或者用手机 4G 网络访问你的公网 IP 加端口，那才是真实效果。

最后提一句：端口映射不要乱开。每开一个端口，就是给外网多一个入口。只转发你确实需要的端口，别图省事把 1-65535 全转进去。虚拟机里的服务该打补丁打补丁，该设密码设密码。NAT 不是安全边界，它只是地址转换。

(责任编辑：时尚)