Kali Linux在VMware中配置静态IP：NAT/桥接/仅主机模式详解

装好Kali Linux之后，第一件让人头疼的事往往不是root密码，而是虚拟机里这块网卡。默认情况下Kali走DHCP自动获取IP，在VMware的NAT模式下基本开箱就能上网，可一旦你想跑服务、搭实验环境、或者用脚本批量跑端口扫描，IP地址突然变了会让你抓狂。这篇文章面向VMware Workstation / Player环境下的Kali Linux，把动态IP和静态IP的配置原理、完整命令、以及新手最容易踩的坑一次讲清楚。不管你是刚接触Kali的安全爱好者，还是需要在虚拟机里长期部署工具链的老鸟，看完之后应该都能少走不少弯路。

IP配置本身不难，难的是搞清楚VMware虚拟网络的工作方式。很多人照着网上的教程改完配置发现ping不通，多半不是命令写错，而是选错了网络模式。所以正文前面会花一些篇幅把NAT、桥接、仅主机这三条路说明白，后面再给具体操作步骤。文章里的命令我都尽量统一用NetworkManager的nmcli工具，同时也会提一下老式的/etc/network/interfaces改法，方便你在不同版本的Kali里灵活应对。

1. 动手前必须搞懂的3种VMware网络模式

1.1 NAT模式：默认能上网，但IP会变

NAT模式是VMware Workstation新建虚拟机时的默认选择。它的本质是让虚拟机通过宿主机“共享”IP上网，宿主机在这里充当一台NAT网关。虚拟机内部看到的网段通常是192.168.x.0/24，网关配置在VMnet8虚拟网络里，由VMware虚拟DHCP服务分配地址。

很多新手会觉得“既然能上网，就不用管了”。确实，日常跑跑命令、做做实验，NAT模式最省心。但正因为DHCP是动态分配的，虚拟机每次开机拿到的IP都可能变，重启一次换一个地址。如果你在Kali里搭了Web服务、Metasploit监听，或者远程SSH连虚拟机，IP一变所有连接和脚本全得跟着改，这个体验非常“酸爽”。所以NAT模式适合短期使用，长期固定需求必须上静态IP。

1.2 桥接模式：虚拟机变成局域网里的一台“真机”

桥接模式（Bridged）的逻辑更简单粗暴：虚拟网卡直接桥接到宿主机的物理网卡上，虚拟机在局域网里相当于一台独立的真实机器，拥有自己的MAC地址和IP地址，可以被局域网里的其他设备直接访问。

桥接模式配置静态IP时，要求虚拟机的IP必须和宿主机在同一网段，网关也必须指向物理局域网的真实网关。比如宿主机IP是192.168.1.200，那虚拟机就可以设成192.168.1.188，网关192.168.1.1。注意，这里不能再沿用NAT模式的192.168.x.2网关，照抄网上教程只改IP不改网关，番茄牛腩挂错酱，味道全不对。

桥接模式最大的坑有两个：一是宿主机如果连着Wi-Fi或者有多个网卡（无线+有线），VMware可能把虚拟机桥接到错误的物理网卡上，导致上不了网；二是如果静态IP和局域网内其他设备冲突，网络会时断时续。选这个模式前，先确认VMware的虚拟网络编辑器里VMnet0桥接的是哪块物理网卡。

1.3 仅主机模式：纯隔离环境，配置思路完全不一样

仅主机模式（Host-only）把虚拟机限制在VMnet1虚拟网络里，只有宿主机和同一VMnet1里的其他虚拟机互相可见，虚拟机无法访问外网。这个模式适合做恶意样本分析、隔离测试，或者不想让某个Kali实例碰到物理网络的场景。

仅主机模式下配静态IP，网关可以不设，也可以随便设一个同网段的IP，因为反正出不去。真正要注意的是：如果设了网关，Kali的路由表会认为网关是下一跳，访问外网时拼命往外发数据包，发不出去就等超时，反而比不设网关更难看。所以仅主机模式的静态IP配置，核心就是地址和掩码对，不用纠结DNS和网关。

三种模式对比归纳成一句话：NAT能出去但外面进不来；桥接能出去外面也能进来；仅主机大家门对门但出不了小区。具体选择取决于你的场景，而不是“哪个好用”。

2. 动态IP：理解DHCP能帮你解决一半问题

2.1 Kali默认为什么能自动上网

动态IP背后是DHCP协议。Kali虚拟机开机后，网卡会广播DHCPDISCOVER，VMware虚拟DHCP服务收到请求后回一个DHCPOFFER，Kali再发DHCPREQUEST确认，最后DHCP服务发DHCPACK，一个IP租约就谈成功了。整个过程是自动的，你装完Kali只要网卡选择NAT，立刻就有IP。

在NAT模式下，VMware的DHCP服务从192.168.x.128这个段开始分配地址。但这不代表192.168.x.100不能人肉指定，DHCP服务器根本不会检测某个地址是否已经被虚拟机静态配置占用，只能检测一个IP是否已经被自己分发出去。所以想配静态IP，最好避开DHCP地址池的范围，否则哪一天DHCP把这个地址分给别的虚拟机，两台机器就开始“抢”IP，网络就乱了。

2.2 用命令检查当前IP和DHCP租约

遇到网络问题第一件事永远是“先看现状”。在Kali终端里敲：

ip addr show

这个命令会列出所有网卡的IP、掩码、MAC地址和状态。再配合：

ip route show

查看默认路由是否指向VMnet8网关。如果你想知道当前到底有没有拿到DHCP地址，可以看NetworkManager的状态：

nmcli connection show nmcli device status

如果想强制刷新一下DHCP租约，最省事的办法是断开再连上：

nmcli connection down "Wired connection 1" nmcli connection up "Wired connection 1"

连接名用双引号保证含空格时也能被正确解析。这条命令的本质就是让虚拟网卡重新发起DHCP握手，重新走一遍获取IP的流程。在排查问题时非常实用。

2.3 从静态切回动态，一条命令搞定

很多场景需要“配置成静态用了几天，又临时切回动态”。比如你把Kali装在了移动硬盘里，插到不同宿主机上，静态IP反而成了路障。切换时直接把ipv4.method改成auto就行：

nmcli connection mod "Wired connection 1" ipv4.method auto nmcli connection up "Wired connection 1"

这样NetworkManager会忽略手动配置的地址和网关，重新走DHCP。注意，手动配置过的IP、DNS并不会被删除，只是暂时不生效；下次再切回manual时，那些值会重新被启用。所以如果你彻底不想要旧配置了，可以用nmcli connection delete "Wired connection 1"删掉整个连接，然后重新创建。

3. 静态IP配置：先搞清楚Kali的“网络管家”是谁

3.1 NetworkManager与ifupdown，两套配置体系

Kali Linux从2020年之后的默认安装基本都使用NetworkManager来管理网络。它是一款支持GUI和命令行的现代网络管理服务，配置文件存放在/etc/NetworkManager/system-connections/目录下。而老式的Debian风格网络配置/etc/network/interfaces由ifupdown负责，在Kali里并没有被默认激活。

动手配置静态IP前，先用下面命令确认当前是谁在管网络：

systemctl is-active NetworkManager

如果输出active，就走NetworkManager；如果输出inactive或failed，大概率你的Kali用的是ifupdown或systemd-networkd。大多数情况下你都会看到active。所以下面的推荐做法都用nmcli，它比图形界面稳定，也比改配置文件可追溯。

注意：很多人打开Kali的“设置 -> 网络”里手动填IP，界面操作虽然直观，但容易漏掉DNS或网关字段。更糟糕的是，图形界面改完之后，NetworkManager可能没有真正把你填的配置写入当前连接，等重启后又回到DHCP。这是Kali里“改了不生效”的高频原因之一。命令行虽然看起来没图形界面友好，但它是确定性的，每一步做什么都一清二楚。

3.2 方法一：用nmcli配置静态IP（推荐）

nmcli是NetworkManager的命令行客户端，它的标准配置流程分四步：找到连接名、设置IP地址和网关、设置DNS、重启连接。

第一步，列出当前活动连接：

nmcli connection show

假设输出里的连接名是Wired connection 1，那么接着执行：

nmcli connection mod "Wired connection 1" ipv4.method manual ipv4.addresses 192.168.188.100/24 ipv4.gateway 192.168.188.2

这里/24表示子网掩码255.255.255.0。网关地址必须和你在VMware虚拟网络编辑器里看到的VMnet8网关一致，不能凭感觉写。接下来设置DNS：

nmcli connection mod "Wired connection 1" ipv4.dns "223.5.5.5 114.114.114.114"

如果你是root用户，可以省略sudo；普通用户必须加sudo。然后重启连接使配置生效：

nmcli connection down "Wired connection 1" nmcli connection up "Wired connection 1"

最后一步很重要：修改配置后不重启连接，新配置只在内存里但不参与网络栈。重启连接后，用ip addr show和ip route show验证结果。ping一下网关和公网：

ping -c 4 192.168.188.2 ping -c 4 223.5.5.5

如果网关能通，公网通不通取决于DNS是否续接上。整个过程熟练的话30秒完成，比图形界面快一倍。

3.3 方法二：修改/etc/network/interfaces（老派但仍在用）

如果你用的Kali版本没有NetworkManager，或者你明确关闭了它，那么可以回到/etc/network/interfaces的老路。编辑文件：

sudo vim /etc/network/interfaces

写入以下内容：

auto eth0 iface eth0 inet static address 192.168.188.100 netmask 255.255.255.0 gateway 192.168.188.2 dns-nameservers 223.5.5.5 114.114.114.114

然后重启网络服务：

sudo systemctl restart networking

或者：

sudo /etc/init.d/networking restart

这个方法在十几年前的Linux系统里属于标准操作，但现在如果你开着NetworkManager，待会它一启动就把/etc/network/interfaces里的配置覆盖掉，因为NetworkManager默认托管网卡。所以使用这个方法前，最好先确认NetworkManager确实不在运行，或者把它禁用掉：

sudo systemctl stop NetworkManager sudo systemctl disable NetworkManager

但禁用NetworkManager会让Kali桌面右上角的网络图标失灵，很多操作会变别扭。所以我的建议是：除非你有特殊洁癖，否则还是用nmcli。

3.4 DNS配置不好，静态IP等于白配

静态IP和DNS是两回事，但很多人把它们混在一起。静态IP决定你的机器“在哪里”，DNS决定你“怎么找到目标”。配置了静态IP之后如果DNS没跟上，最常见的表现就是能ping通网关（比如192.168.188.2），但ping不通域名（比如www.kali.org），或者浏览器打不开网页。

Kali近期版本使用systemd-resolved接管/etc/resolv.conf，所以直接改这个文件很可能会在重启后消失。最稳妥的方式仍然是通过NetworkManager设置：

nmcli connection mod "Wired connection 1" ipv4.dns "223.5.5.5 114.114.114.114" nmcli connection mod "Wired connection 1" ipv4.ignore-auto-dns yes nmcli connection up "Wired connection 1"

ipv4.ignore-auto-dns yes的意思是“忽略DHCP下发的DNS”，强制使用你手动指定的DNS。如果还想要DHCP下发的DNS，这个参数就设成no。检查DNS是否生效，用：

resolvectl status

或者直接看cat /etc/resolv.conf是否指向你设置的地址。能解析域名后再上网，问题就解决了。

4. 实战：在VMware NAT模式下配置固定IP

4.1 先查VMware的虚拟网络段和网关

永远不要靠猜。配置静态IP前，打开VMware Workstation，菜单栏选“编辑 -> 虚拟网络编辑器”，找到VMnet8（NAT模式对应的虚拟网络）。在列表里你会看到子网IP，比如192.168.188.0，子网掩码255.255.255.0。再点右侧的“NAT设置”，能看到网关地址，通常是192.168.188.2。

这个网关就是你Kali虚拟机里的默认路由。不同电脑的VMnet8网段完全可能不同，网络上那些教程写的192.168.1.100能不能用，取决于你自己的虚拟网络，不能无脑复制。

在VMware Player里如果你发现虚拟网络编辑器无法修改，多半是权限不够，用管理员身份运行VMware Player再打开即可。注意，改虚拟网络编辑器里的任何设置，都要在虚拟机彻底关闭后进行。

4.2 选IP地址：尽量避开DHCP地址池

VMware DHCP的地址池默认从192.168.188.128开始（不同版本可能略有差异），到192.168.188.254结束。为了不影响动态分配，建议把静态IP安排在子网的后段或前段，比如192.168.188.100。虽然你完全可以选一个DHCP池内的地址，DHCP服务器并不会主动“让位”，一旦虚拟机多起来很容易撞车。

如果Kali虚拟机只有一块网卡，在/etc/default/grub里没有特殊网络命名情况下，接口名一般是eth0。但我也见过有些定制镜像显示ens33或ens160，这不影响配置逻辑，命令中用到接口名的地方请以ip addr show实际输出为准。

4.3 完整配置命令

假设子网是192.168.188.0/24，网关是192.168.188.2，目标静态IP是192.168.188.100，DNS用223.5.5.5和114.114.114.114。执行：

nmcli connection mod "Wired connection 1" ipv4.addresses 192.168.188.100/24 nmcli connection mod "Wired connection 1" ipv4.gateway 192.168.188.2 nmcli connection mod "Wired connection 1" ipv4.method manual nmcli connection mod "Wired connection 1" ipv4.dns "223.5.5.5 114.114.114.114" nmcli connection mod "Wired connection 1" ipv4.ignore-auto-dns yes nmcli connection down "Wired connection 1" nmcli connection up "Wired connection 1"

如果这时候你是通过SSH连接Kali的，连接会断，因为IP变了。你需要在宿主机上用ssh root@新IP重新连接。如果是直接打开Kali的终端操作，那不受影响。验证：

ip addr show eth0 ip route show ping -c 4 192.168.188.2 ping -c 4 223.5.5.5

能看到IP和网关后，说明配置成功。如果ip route show里没有出现default via 192.168.188.2，那就是网关没设置成功，回头检查连接名是否带空格、命令是否完整。

4.4 桥接模式静态IP：细节决定成败

桥接模式的静态IP流程和NAT类似，但有几个额外要点。首先，先查宿主机网络信息：

ipconfig # Windows宿主机 # 或者 ip addr # Linux宿主机

假设宿主机是192.168.1.200/24，网关192.168.1.1。那么在Kali里把地址设成192.168.1.188/24，网关指向192.168.1.1。流程与上面相同，只是网段和网关换了。

其次，桥接模式下要注意物理局域网里有没有其他设备占用192.168.1.188。最简单的办法是配置前先在宿主机上ping一下这个候选地址，如果有回应说明被占用了，换一个。另外，宿主机如果同时连着多个网卡（比如有线加无线），VMware可能把桥接网络映射到其中一张网卡上，导致虚拟机上不了网。排查时去VMware的虚拟网络编辑器看VMnet0绑定的物理网卡是否是当前正在上网的那个。

还有个小技巧：桥接模式下，如果宿主机用的无线网卡，VMware默认的桥接在Wi-Fi环境下可能不稳定。遇到断流，可以在虚拟机设置里勾选“复制物理网络连接状态”（Copy physical network connection state），很多时候能缓解。

5. 常见问题排查实录

5.1 配置完静态IP后ping不通网关

这是出现频率最高的问题。排查顺序很重要：先看ip addr show，确认网卡是UP状态且IP、掩码都对；再看ip route show，确认default route存在；如果默认路由缺失，重新执行nmcli connection mod设置ipv4.gateway。网关写错最典型的症状就是能ping通自己却ping不通192.168.x.1。

如果一切配置看着都对，检查宿主机上的VMware NAT服务。Windows宿主机按Win+R打开services.msc，确认VMware NAT Service和VMware DHCP Service处于运行状态。前面提过，虚拟网络编辑器改过子网后，这两个服务不会自动刷新，重启虚拟机前最好先重启这两个服务。Linux宿主机则使用systemctl管理vmware相关服务。

5.2 克隆虚拟机后网卡变成eth1或ens33，IP怎么都配不对

VMware克隆Kali虚拟机后常见的迷之现象：原来的eth0变成了eth1，或者变成ens33/ens160，NetworkManager里出现一堆“Wired connection 2”、“Wired connection 3”，刚配置好的IP第二天又丢失。根本原因是克隆后网卡的MAC地址变了，而NetworkManager的连接配置绑定了旧的MAC。虚拟机启动时虽然拿到了新网卡，但NetworkManager不认为它是同样的设备，于是不再自动应用原静态配置。

解决办法很直接，先列出当前连接：

nmcli connection show

把没用的旧连接删掉：

nmcli connection delete "Wired connection 1"

然后让NetworkManager重新生成一张连接：

nmcli device wifi connect 不存在

如果网卡没有连接，直接：

nmcli device reapply eth1

不过最稳妥的做法是删除旧连接后，用nmcli connection add手动新建一个静态连接。具体如下：

nmcli connection add type ethernet con-name "kali-static" ifname eth1 ipv4.method manual ipv4.addresses 192.168.188.100/24 ipv4.gateway 192.168.188.2 ipv4.dns "223.5.5.5 114.114.114.114"

其中ifname必须是ip addr show里看到的实际接口名。新建完成后：

nmcli connection up "kali-static"

这样就不受旧连接影响。再加上克隆前先在虚拟机设置里固定好MAC地址（“高级 -> MAC地址 -> 保存为当前地址”），可以大幅减少这类问题。

5.3 手动用ip命令改的IP，重启后马上失效

很多人在排查的时候会顺手执行：

sudo ip addr add 192.168.188.100/24 dev eth0

命令执行完，IP确实出现了，心里一喜，重启发现又没了。这是必然的：ip addr add只是临时修改内核网络栈，不会写入任何持久化配置。它适合用来临时测试某个IP能不能用，但如果你想让配置永久生效，最终还是得落到NetworkManager或者interfaces文件里。

如果测试成功后想立刻持久化，可以把刚测试的数值写进nmcli命令，然后重启连接。这个习惯能避免很多“为什么又没了”的困惑。

5.4 DNS能解析域名，但ping不通外网IP

域名能解析说明DNS工作正常，ping不通公网IP要分两层看。先ping一下网关，不通则是三层路由问题，检查静态IP的网关和掩码；网关能通，再ping公网IP（比如223.5.5.5），如果还是不通，多半是网关NAT转发或宿主机网络没通。如果网关通、域名也能解析，但访问网页很慢，很可能/etc/resolv.conf里的DNS配置优先级不对，优先用VPS专用DNS之类的公共DNS会更好。

Kali里还有一个比较隐蔽的坑：当系统同时存在多个NetworkManager连接（比如一个有线、一个无线）时，可能默认路由走了另一条连接，导致所有数据包都跑到错误的网关。用nmcli connection show --active看清楚当前激活的是哪个连接，把不需要的连接置为down。

5.5 open-vm-tools没装好，网络和显示都别扭

虽然这不是IP配置本身的报错，但很多Kali虚拟机在安装时默认没有完整安装open-vm-tools，导致网卡驱动行为怪、屏幕分辨率只能到800x600，甚至在VMware里找不到可用的虚拟网卡。建议装好Kali后第一时间执行：

sudo apt update sudo apt install -y open-vm-tools open-vm-tools-desktop

重启虚拟机后，虚拟网卡在宿主机和虚拟机之间的协调会顺畅很多，特别是桥接模式下频繁切换Wi-Fi的场景。如果你碰到“VMware Tools启动脚本未能在虚拟机中成功运行”，多半就是缺了这两个包。

6. 个人经验：三个操作习惯让我少折腾网络

第一，永远在改虚拟网络配置前打一个快照。这个习惯救过我太多次了。Kali网络配置出错，有时不只是没网，而是NetworkManager的配置文件写坏了导致系统启动异常。虽然理论上可以进单用户模式修，但对新人来说，十分钟前打一个快照然后回滚，比花两小时硬啃systemd日志舒服得多。

第二，用文字记录当前虚拟机的网络拓扑。我在一个VMware虚拟机里同时跑Kali、Ubuntu和Rocky Linux时，会给每台虚拟机命名加后缀，比如kali-lab1-nat-100表示NAT模式下用192.168.x.100。等项目多了，光靠记忆必定出错。随手一张表格，把虚拟机名、网络模式、静态IP、网关、DNS记下来，排查问题时一分钟定位。

第三，优先用nmcli而不是图形界面。图形界面看起来简单，但有些字段（比如DNS优先级、ignore-auto-dns）不会直接暴露，而且容易误触“自动连接”开关，导致重启后又回到DHCP。命令行虽然要敲几行字，但可重复、可记录、可脚本化，一旦搞定一台Kali，后面的虚拟机照抄命令就能批量配置。

说到底，在VMware里给Kali配静态IP不是难事，真正难的是建立对网络模式的整体认知。动态IP交给DHCP，静态IP交给NetworkManager，遇到问题先看现状再动配置，加上快照兜底，这个组合能让你在Kali里自由切换网络，专心做你想做的事。