把 WSL2 的networkingMode从默认 NAT 改成 mirrored本意是想让局域网里的设备直接访问 WSL 里跑的服务结果改完.wslconfig、执行wsl --shutdown再进系统WSL 里 ping 什么都通不了Windows 本身也差点跟着断网。这个场景我太熟了后台和社区里隔三差五就有人遇到。WSL2 的网络模式修改之所以危险不在于命令多复杂而在于很多人忽略了三件事当前 WSL 版本是否支持目标模式、配置项写在哪个配置节下面、以及改之前有没有备份。这篇文章我把这套东西完整捋一遍先讲透 WSL2 的 NAT、mirrored、legacy 三种网络模式的本质区别再给一条从 Windows 宿主到 WSL 内部的分层排查链路接着列出我实际踩过的几个改完就断网的高频坑最后是一套备份还原手法和可以直接用的 bat 快照脚本。不管你是新手还是老手照着走一遍能省下大量盲目重装、重置的折腾时间。1. WSL2 网络模式到底有几种改之前先把选项搞清楚1.1 NAT、mirrored、legacy 三种模式的行为差异WSL2 本质是轻量级虚拟机跑在 Hyper-V 平台上网络行为取决于 Windows 侧给的虚拟交换机配置。绝大多数人平时用的是默认 NAT 模式少部分人为了追求WSL 与 Windows 共享网络栈会切成 mirrored另外还有一些老教程里的 legacy 模式现在基本见不到了但偶尔会在旧配置里遇到。模式配置值网络行为适用场景NAT默认networkingModeNATWSL 通过虚拟交换机 vEthernet (WSL) 接入私有网段经 Windows 的 NAT 转发访问外网兼容性最好日常开发、包管理、出站访问都没问题镜像网络networkingModemirroredWSL 与 Windows 共享网络接口和 IP入站出站行为更接近本地进程需要在局域网直接访问 WSL 内服务、需要 IPv6、带宽要求高的场景旧版模式networkingModelegacyWSL1 时代遗留的网络栈行为老发行版 / 老配置迁移兜底新环境不建议用这里要理解一个关键点NAT 模式下WSL 里的 eth0 是虚拟网卡IP 通常是 172.x.x.x 段Windows 上的 vEthernet (WSL) 网卡是它的网关。你从 Windows 访问 WSL 里的服务本质是从物理网卡访问虚拟网段从 WSL 访问外网必须经过 Windows 的 NAT 转发。mirrored 模式则把这些隔阂全部拿掉虚拟机的网卡直接镜像宿主机的物理网卡IP 都一样。听起来很美但新增的虚拟化链路也会带来新的断网风险点这就是后面要说的一大堆坑。1.2 .wslconfig 网络配置项逐个拆解.wslconfig是 WSL2 全局配置文件的唯一入口默认位于%UserProfile%\.wslconfig也就是C:\Users\你的用户名\.wslconfig。文件不一定存在不存在就新建用 UTF-8 编码保存。和网络模式强相关的配置项是这几个配置项作用注意事项networkingMode切换 NAT / mirrored / legacy新旧版本配置节位置不同这是最常见的坑之一dnsTunneling开启 DNS 隧道把 WSL 内的 DNS 请求转发给 Windows 处理默认 true和旧版本组合可能导致域名解析失败autoProxyWSL 自动跟随 Windows 系统代理设置仅在宿主有系统代理时有意义一般内网环境不建议开firewall启用或关闭 Hyper-V 防火墙隔离默认 true改成 false 能降低外部访问 WSL 端口的门槛但也降低隔离性ipv6WSL 内是否启用 IPv6mirrored 模式下建议和宿主机保持一致一个非常典型的坑mirrored 模式刚推出时官方预览版把开关放在[experimental]节下后来稳定版把配置移到了[wsl2]节。很多老教程还在写[experimental]如果你的 WSL 版本比较新配置会被忽略版本比较老写在[wsl2]下也可能不识别。所以改之前第一件事不是改配置而是查版本。2. 改完断网后完整排查链路从配置有没有生效开始2.1 第一层确认版本、配置和是不是 WSL2先做三件事确认 Windows 版本和 WSL 版本PowerShell 里执行wsl --version。如果提示不支持这个命令说明 WSL 很旧先执行wsl --update。Windows 版本用winver看mirrored 需要 Windows 11 22H2 或更新版本。确认发行版确实是 WSL2执行wsl -l -v看到 VERSION 列是 2。如果显示 1说明这是 WSL1 发行版网络模式配置对它完全无效再怎么折腾都是白费。检查.wslconfig是否被正确识别确认文件路径是不是%UserProfile%\.wslconfig检查节名和语法。注意节名是[wsl2]不是[WSL2]配置项是networkingModemirrored这种键值格式不要加引号不要在行尾加分号。改完必须wsl --shutdown再重新进入否则不会生效。这里有个细节wsl --shutdown会关闭所有发行版但不会删除配置。执行完它再开一个新的终端窗口进入 WSL才是真正以新配置启动。很多人改完配置直接关终端或者只是 exit 退出再进根本没有触发重新加载然后产生我明明改了怎么没效果的困惑。2.2 第二层在 WSL 内部做五段式连通性测试这个测试思路几乎能定位所有WSL 上不了网的问题。进入 WSL 终端按顺序执行ping 127.0.0.1—— 检查 TCP/IP 协议栈基本健康ip addr show eth0—— 看是否拿到了有效 IPNAT 模式一般是 172.x.x.xmirrored 模式下会显示物理网卡的 IPip route show—— 看默认路由是否存在网关一般是 172.x.x.1较新版本也可能是 10.255.255.254ping 网关IP—— 测试到虚拟网关/宿主的连通性ping 223.5.5.5或 8.8.8.8—— 测试到外网 IP 的连通性nslookup www.baidu.com或dig www.baidu.com—— 测试 DNS 解析每一步失败对应的方向完全不同失败位置大概率原因下一步动作第 2 步拿不到 IPDHCP 没跑通虚拟交换机异常检查 Hyper-V 虚拟交换机状态第 4 步 ping 不通网关NAT 转发链路断了或者 Windows 防火墙拦了虚拟网段检查 vEthernet (WSL) 网卡及防火墙规则第 5 步不通Windows 的 NAT 出站被拦或物理网卡本身断网先在 Windows 侧确认外网正常再看防火墙第 6 步超时但第 5 步通DNS 配置问题大概率出在 dnsTunneling 或 /etc/resolv.conf检查 resolv.conf 和 wsl.conf 配置这个五段式排查是我个人最推荐的方法比瞎猜是不是 DNS 坏了要高效得多。很多情况下问题在第 6 步但用户会觉得整体断网因为浏览器报的是 DNS 错误实际上网络链路是通的只是 DNS 指向错了。2.3 第三层Windows 宿主侧的网卡、服务、防火墙WSL2 的网络问题一半在 Linux 里一半在 Windows 里。如果 Linux 侧测到第 4、5 步失败那大概率是 Windows 侧的问题。查看vEthernet (WSL)网卡管理员 PowerShell 里执行ipconfig /all找到vEthernet (WSL)。正常情况下它会有一个 172.x.x.1 之类的 IP如果这块网卡被禁用、没有 IP 或者 IP 变成了 169.254.x.xWindows 自动地址那整个 WSL 虚拟网络就是瘫痪状态。修复动作是wsl --shutdown后执行netsh interface set interface vEthernet (WSL) adminenable或者到网络连接里重新启用这块网卡。检查服务WSL 依赖几个 Windows 服务最核心的是 Hyper-V 虚拟机管理服务vmms还有 LxssManagerWSL 服务本身。PowerShell 执行Get-Service vmms, LxssManager | Format-Table Name,Status。如果 vmms 是停止状态很多虚拟网卡行为会异常在服务里启动它并把启动类型改成自动。检查防火墙在 Windows 防火墙高级设置或命令行里临时关闭防火墙做测试netsh advfirewall set allprofiles state off。如果关闭后 WSL 网络恢复正常说明是防火墙规则拦了流量。这里更实际的做法是确认哪条规则拦的而不是长期关防火墙。测完之后记得重新打开。另外一部分安全软件/电脑管家类工具会拦截未知虚拟网卡排查时也可以临时退出试试。如果以上都正常但网络还是瘫再考虑重置网络栈管理员 PowerShell 执行netsh winsock reset和netsh int ip reset然后重启电脑。注意这两条命令会把整个 Windows 网络栈的配置重置影响范围很大只有在其它手段都无效时才用而且用之前务必把现有网络配置备份好正好对应标题里的备份还原技巧。3. 我实测最容易踩的四种改完就断网的坑3.1 配置写进 [experimental] 还是 [wsl2]版本不一样结果不一样前面说过配置节的问题。我实际碰到过一个场景公司的一台 Windows 11 机器WSL 是 1.2.x按网上教程在[experimental]下写了networkingModemirrored保存、shutdown、重启后WSL 里ip addr显示的还是老面孔配置完全没生效。后来又有个同事在 2.0.x 的版本上用[experimental]写发现 WSL 启动时甚至会打印警告说该配置节已废弃。正确姿势先wsl --version看版本。2.0 以上优先把networkingMode写在[wsl2]节下如果用的是官方早期版本保留的[experimental]写法建议迁移到[wsl2]。切换网络模式前先测一次wsl --shutdown后配置是否生效用ip addr看网卡是虚拟网段还是物理网段比反复改配置高效得多。3.2 mirrored 模式下 DNS 配置没跟上域名解析全部超时这个坑是遇到的最多的形态之一改 mirrored 成功后WSL 里ping 223.5.5.5完全通但ping www.baidu.com一直超时。看/etc/resolv.confnameserver 指向的还是 NAT 时代的老网关 IP。问题根源在于 WSL2 自动生成/etc/resolv.conf的逻辑在 mirrored 模式下会有点跟不上尤其是当.wslconfig里没有显式写dnsTunnelingtrue或者你手动改过/etc/wsl.conf里的generateResolvConffalse时。处理办法先确认.wslconfig里dnsTunnelingtrue已经设置然后wsl --shutdown重新进。如果/etc/resolv.conf还是不对检查/etc/wsl.conf把[network]节下generateResolvConf设为 true或者直接删掉[network]节的这个自定义项让 WSL 自动生成。注意修改/etc/wsl.conf后也要wsl --shutdown重启。如果还是解析不了可以临时手动指定一个公共 DNS 测试sudo sh -c echo nameserver 223.5.5.5 /etc/resolv.conf能通就说明问题确实在 DNS 自动生成链路而不是其它地方。要提醒的是手动指公共 DNS 只是临时手段因为 WSL 每次重启可能会覆盖/etc/resolv.conf治标不治本。最终要解决的是自动生成逻辑和配置之间的配合。3.3 防火墙和安全软件把虚拟网卡拦了个干净镜像模式一开WSL 的流量在 Windows 看来更像是本地流量这时候 Windows 防火墙对 Hyper-V 虚拟网络的处理方式会发生变化。某些安全软件会把新出现的 vEthernet 虚拟网卡当成未知网络或高风险网络默认禁止它访问外部网络。表现是WSL 里拿得到 IPping 网关也通但一到外网就全军覆没。排查方式就是上面说的——临时关闭防火墙和安全软件的网络防护分段确认。确定是防火墙的锅之后再针对性地加白规则而不是放任关闭。从 Windows 防火墙放行 WSL 的常用姿势在防火墙高级设置里找到和Hyper-V或WSL相关的入站/出站规则有些版本会有专门的 vEthernet (WSL) 配置文件把它们设置为允许。如果找不到对应规则也可以用命令行给特定程序加规则例如netsh advfirewall firewall add rule nameWSL Allow dirout actionallow programC:\Windows\System32\wsl.exe。这里的关键是只放行 WSL 相关流量不要图省事把整个防火墙关了。3.4 从 mirrored 切回 NAT 后网卡配置残留需要重置网络栈还有一种情况是我一开始没预料到的用户从 mirrored 切回 NAT反而更上不了网。原因是网卡层面的状态残留——切换模式时旧模式的网络桥接关系和防火墙状态没有完全清理干净。这个时候常规的wsl --shutdown往往不起作用。我的处理顺序是先确认.wslconfig已改回到networkingModeNAT执行wsl --shutdown管理员 PowerShell 执行netsh winsock reset和netsh int ip reset重启 Windows再次进入 WSL观察 eth0 是否恢复到 172.x 网段这个流程能解决绝大多数切回 NAT 后出不去网的问题。netsh winsock reset会重置 Winsock 目录有些网络代理类软件可能需要重新配置或重新安装执行前确认你已经保存了相关配置信息。4. 备份与还原改之前两分钟比断网后两小时值钱说实话绝大多数改网络模式断网的惨案根源不是配置本身有多难而是没考虑回滚。我后来给自己定了一条铁律任何和 WSL2 网络相关的修改先备份再动手。4.1 轻量级备份.wslconfig 和 hosts 等多配置项一键打包修改.wslconfig之前最轻量的备份就是把原文件复制一份改名copy /y %UserProfile%\.wslconfig %UserProfile%\.wslconfig.bak同时/etc/hosts、/etc/resolv.conf、/etc/wsl.conf这几个 WSL 内部的网络相关配置文件也建议备份。不进 WSL 的话可以直接从 Windows 的\\wsl$\发行版名\etc\路径访问。用文件资源管理器输入\\wsl$\Ubuntu\etc\hosts就能复制出来。4.2 发行级备份wsl --export / --import 的正确姿势如果改完配置后不仅网络坏了整个发行版文件系统也出现异常或者你想在还原配置之前把当前环境完整留存就要用到发行级备份。导出命令wsl --shutdown wsl --export Ubuntu %UserProfile%\ubuntu-backup.tar新版 WSL 还支持直接导出 vhdx 格式更接近虚拟机快照wsl --export Ubuntu %UserProfile%\ubuntu-backup.vhdx --vhd还原时如果原来的发行版还在可以用wsl --unregister Ubuntu注销掉会删除该发行版全部数据谨慎再导入wsl --import Ubuntu %UserProfile%\WSLDistros\Ubuntu %UserProfile%\ubuntu-backup.tar讲两个容易被忽略的细节导出前务必wsl --shutdown否则文件可能处于写缓存状态导出的包不完整。wsl --import导入的是一个新的 WSL 发行版实例如果你不想覆盖原实例可以把导入后的发行版名改成其它名字比如Ubuntu-Backup验证网络正常后再切换默认发行版。这样风险更低。4.3 系统网络组件备份防火墙策略与网卡配置切换网络模式导致断网需要动到 Windows 侧网络组件时防火墙策略和网卡配置也要备份。导出防火墙策略管理员命令行执行netsh advfirewall export %UserProfile%\firewall_policy.wfw日后需要还原netsh advfirewall import %UserProfile%\firewall_policy.wfw这个备份的价值在于很多人为了排查断网会临时关防火墙排查完忘了开或者期间防火墙规则已经变了有这个导出包就能一键回到排查前的状态。网卡配置备份更简单把关键信息落盘即可后续对照用ipconfig /all %UserProfile%\network_ipconfig.txt route print %UserProfile%\network_route.txt netsh interface ipv4 show config %UserProfile%\network_netsh_ipv4.txt4.4 给你一个可以直接用的 bat 快照脚本把上面这些命令组合成一个脚本改配置前双击运行一次就能拿到全套后悔药。脚本内容如下保存为wsl-backup.bat用管理员身份运行echo off chcp 65001 nul for /f %%i in (powershell -NoProfile -Command Get-Date -Format yyyyMMddHHmmss) do set TS%%i set BACKUP_DIR%UserProfile%\WSLBackup_%TS% mkdir %BACKUP_DIR% 2nul echo [1/5] 备份 .wslconfig if exist %UserProfile%\.wslconfig copy /y %UserProfile%\.wslconfig %BACKUP_DIR%\.wslconfig.bak nul echo [2/5] 备份 Windows 防火墙策略 netsh advfirewall export %BACKUP_DIR%\firewall_policy.wfw nul echo [3/5] 备份网络配置 ipconfig /all %BACKUP_DIR%\ipconfig_all.txt route print %BACKUP_DIR%\route_print.txt netsh interface ipv4 show config %BACKUP_DIR%\netsh_ipv4_config.txt echo [4/5] 备份 WSL 发行版默认导出 Ubuntu按需修改 wsl --shutdown wsl --export Ubuntu %BACKUP_DIR%\ubuntu-backup.tar echo [5/5] 完成 echo 备份目录%BACKUP_DIR% pause几点说明第 4 步的发行版名称请用wsl -l -q确认后修改不一定是 Ubuntu。如果发行版数据很大导出过程会比较慢你只想备份配置的话把第 4 步删掉或注释掉即可。脚本用 UTF-8 编码保存控制台中文显示会更正常如果双击运行后中文乱码改成 ANSI 编码保存再试。netsh advfirewall export需要管理员权限所以脚本务必右键以管理员身份运行。5. 修改网络模式的安全操作流程与长期预防5.1 一套稳妥的修改步骤依照我踩过的坑现在修改网络模式我是固定按这个流程走的运行备份脚本上面那个 batwsl --version确认 WSL 版本、wsl -l -v确认发行版是 WSL2修改.wslconfig确认节名、键名、文件编码wsl --shutdown重新进入 WSL用ip addr检查网卡 IP 变化是否符合预期快速执行上面的五段式连通性测试如果正常任务完成如果不正常回滚.wslconfig.bak再次wsl --shutdown重新测试整个过程不超过十分钟却能把原来动辄一晚上的断网排查压缩成一个可控的操作窗口。5.2 把常用恢复命令固化成一个恢复脚本除了备份脚本我还会留一个wsl-network-restore.bat里面放的是恢复出厂网络状态的常用命令echo off chcp 65001 nul echo [1/4] 关闭 WSL wsl --shutdown echo [2/4] 重置 Winsock netsh winsock reset echo [3/4] 重置 TCP/IP 栈 netsh int ip reset echo [4/4] 提示重启 echo 请重启 Windows 后再测试 WSL 网络 pause注意这个脚本会把网络栈整个重置一次影响所有网络软件务必只在其他手段无效时执行。执行完重启系统然后再按五段式测试重新验证。5.3 哪些场景真的需要改 mirrored哪些不需要最后说点实在的。mirrored 模式虽然听起来功能强大但它不是所有人都有必要改。如果只是日常在 WSL 里跑编译、跑脚本、装软件包默认的 NAT 模式是稳定性最高的选择没必要动。如果需求是局域网里的其它设备能直接访问 WSL 里的服务在 NAT 模式下其实可以用netsh interface portproxy做端口转发实现netsh interface portproxy add v4tov4 listenaddress0.0.0.0 listenport8080 connectaddress127.0.0.1 connectport8080配合 Windows 防火墙放行 8080 端口局域网设备就能通过 Windows 的 IP 访问 WSL 里监听 8080 的服务。这个方案比改 mirrored 模式要稳得多。只在确实遇到 NAT 模式无法满足的场景比如 WSL 里映射端口到局域网不顺畅、IPv6 支持不足、局域网内双向访问要求很高时才建议尝试 mirrored而且务必先备份再改。我自己在实际项目里遇到过一回为了让局域网的测试机直接访问 WSL 里跑着的 Web 服务脑子一热改了 mirrored结果搞到半夜还在折腾。后来用回 NAT 端口转发的方案十分钟搞定。那次之后我文件夹里就常备了备份脚本和恢复脚本每次改网络配置前先拍一张快照心里踏实很多。希望这篇记录能让你少走同样的弯路。
WSL2网络模式切换避坑：NAT与mirrored断网排查和备份恢复
把 WSL2 的networkingMode从默认 NAT 改成 mirrored本意是想让局域网里的设备直接访问 WSL 里跑的服务结果改完.wslconfig、执行wsl --shutdown再进系统WSL 里 ping 什么都通不了Windows 本身也差点跟着断网。这个场景我太熟了后台和社区里隔三差五就有人遇到。WSL2 的网络模式修改之所以危险不在于命令多复杂而在于很多人忽略了三件事当前 WSL 版本是否支持目标模式、配置项写在哪个配置节下面、以及改之前有没有备份。这篇文章我把这套东西完整捋一遍先讲透 WSL2 的 NAT、mirrored、legacy 三种网络模式的本质区别再给一条从 Windows 宿主到 WSL 内部的分层排查链路接着列出我实际踩过的几个改完就断网的高频坑最后是一套备份还原手法和可以直接用的 bat 快照脚本。不管你是新手还是老手照着走一遍能省下大量盲目重装、重置的折腾时间。1. WSL2 网络模式到底有几种改之前先把选项搞清楚1.1 NAT、mirrored、legacy 三种模式的行为差异WSL2 本质是轻量级虚拟机跑在 Hyper-V 平台上网络行为取决于 Windows 侧给的虚拟交换机配置。绝大多数人平时用的是默认 NAT 模式少部分人为了追求WSL 与 Windows 共享网络栈会切成 mirrored另外还有一些老教程里的 legacy 模式现在基本见不到了但偶尔会在旧配置里遇到。模式配置值网络行为适用场景NAT默认networkingModeNATWSL 通过虚拟交换机 vEthernet (WSL) 接入私有网段经 Windows 的 NAT 转发访问外网兼容性最好日常开发、包管理、出站访问都没问题镜像网络networkingModemirroredWSL 与 Windows 共享网络接口和 IP入站出站行为更接近本地进程需要在局域网直接访问 WSL 内服务、需要 IPv6、带宽要求高的场景旧版模式networkingModelegacyWSL1 时代遗留的网络栈行为老发行版 / 老配置迁移兜底新环境不建议用这里要理解一个关键点NAT 模式下WSL 里的 eth0 是虚拟网卡IP 通常是 172.x.x.x 段Windows 上的 vEthernet (WSL) 网卡是它的网关。你从 Windows 访问 WSL 里的服务本质是从物理网卡访问虚拟网段从 WSL 访问外网必须经过 Windows 的 NAT 转发。mirrored 模式则把这些隔阂全部拿掉虚拟机的网卡直接镜像宿主机的物理网卡IP 都一样。听起来很美但新增的虚拟化链路也会带来新的断网风险点这就是后面要说的一大堆坑。1.2 .wslconfig 网络配置项逐个拆解.wslconfig是 WSL2 全局配置文件的唯一入口默认位于%UserProfile%\.wslconfig也就是C:\Users\你的用户名\.wslconfig。文件不一定存在不存在就新建用 UTF-8 编码保存。和网络模式强相关的配置项是这几个配置项作用注意事项networkingMode切换 NAT / mirrored / legacy新旧版本配置节位置不同这是最常见的坑之一dnsTunneling开启 DNS 隧道把 WSL 内的 DNS 请求转发给 Windows 处理默认 true和旧版本组合可能导致域名解析失败autoProxyWSL 自动跟随 Windows 系统代理设置仅在宿主有系统代理时有意义一般内网环境不建议开firewall启用或关闭 Hyper-V 防火墙隔离默认 true改成 false 能降低外部访问 WSL 端口的门槛但也降低隔离性ipv6WSL 内是否启用 IPv6mirrored 模式下建议和宿主机保持一致一个非常典型的坑mirrored 模式刚推出时官方预览版把开关放在[experimental]节下后来稳定版把配置移到了[wsl2]节。很多老教程还在写[experimental]如果你的 WSL 版本比较新配置会被忽略版本比较老写在[wsl2]下也可能不识别。所以改之前第一件事不是改配置而是查版本。2. 改完断网后完整排查链路从配置有没有生效开始2.1 第一层确认版本、配置和是不是 WSL2先做三件事确认 Windows 版本和 WSL 版本PowerShell 里执行wsl --version。如果提示不支持这个命令说明 WSL 很旧先执行wsl --update。Windows 版本用winver看mirrored 需要 Windows 11 22H2 或更新版本。确认发行版确实是 WSL2执行wsl -l -v看到 VERSION 列是 2。如果显示 1说明这是 WSL1 发行版网络模式配置对它完全无效再怎么折腾都是白费。检查.wslconfig是否被正确识别确认文件路径是不是%UserProfile%\.wslconfig检查节名和语法。注意节名是[wsl2]不是[WSL2]配置项是networkingModemirrored这种键值格式不要加引号不要在行尾加分号。改完必须wsl --shutdown再重新进入否则不会生效。这里有个细节wsl --shutdown会关闭所有发行版但不会删除配置。执行完它再开一个新的终端窗口进入 WSL才是真正以新配置启动。很多人改完配置直接关终端或者只是 exit 退出再进根本没有触发重新加载然后产生我明明改了怎么没效果的困惑。2.2 第二层在 WSL 内部做五段式连通性测试这个测试思路几乎能定位所有WSL 上不了网的问题。进入 WSL 终端按顺序执行ping 127.0.0.1—— 检查 TCP/IP 协议栈基本健康ip addr show eth0—— 看是否拿到了有效 IPNAT 模式一般是 172.x.x.xmirrored 模式下会显示物理网卡的 IPip route show—— 看默认路由是否存在网关一般是 172.x.x.1较新版本也可能是 10.255.255.254ping 网关IP—— 测试到虚拟网关/宿主的连通性ping 223.5.5.5或 8.8.8.8—— 测试到外网 IP 的连通性nslookup www.baidu.com或dig www.baidu.com—— 测试 DNS 解析每一步失败对应的方向完全不同失败位置大概率原因下一步动作第 2 步拿不到 IPDHCP 没跑通虚拟交换机异常检查 Hyper-V 虚拟交换机状态第 4 步 ping 不通网关NAT 转发链路断了或者 Windows 防火墙拦了虚拟网段检查 vEthernet (WSL) 网卡及防火墙规则第 5 步不通Windows 的 NAT 出站被拦或物理网卡本身断网先在 Windows 侧确认外网正常再看防火墙第 6 步超时但第 5 步通DNS 配置问题大概率出在 dnsTunneling 或 /etc/resolv.conf检查 resolv.conf 和 wsl.conf 配置这个五段式排查是我个人最推荐的方法比瞎猜是不是 DNS 坏了要高效得多。很多情况下问题在第 6 步但用户会觉得整体断网因为浏览器报的是 DNS 错误实际上网络链路是通的只是 DNS 指向错了。2.3 第三层Windows 宿主侧的网卡、服务、防火墙WSL2 的网络问题一半在 Linux 里一半在 Windows 里。如果 Linux 侧测到第 4、5 步失败那大概率是 Windows 侧的问题。查看vEthernet (WSL)网卡管理员 PowerShell 里执行ipconfig /all找到vEthernet (WSL)。正常情况下它会有一个 172.x.x.1 之类的 IP如果这块网卡被禁用、没有 IP 或者 IP 变成了 169.254.x.xWindows 自动地址那整个 WSL 虚拟网络就是瘫痪状态。修复动作是wsl --shutdown后执行netsh interface set interface vEthernet (WSL) adminenable或者到网络连接里重新启用这块网卡。检查服务WSL 依赖几个 Windows 服务最核心的是 Hyper-V 虚拟机管理服务vmms还有 LxssManagerWSL 服务本身。PowerShell 执行Get-Service vmms, LxssManager | Format-Table Name,Status。如果 vmms 是停止状态很多虚拟网卡行为会异常在服务里启动它并把启动类型改成自动。检查防火墙在 Windows 防火墙高级设置或命令行里临时关闭防火墙做测试netsh advfirewall set allprofiles state off。如果关闭后 WSL 网络恢复正常说明是防火墙规则拦了流量。这里更实际的做法是确认哪条规则拦的而不是长期关防火墙。测完之后记得重新打开。另外一部分安全软件/电脑管家类工具会拦截未知虚拟网卡排查时也可以临时退出试试。如果以上都正常但网络还是瘫再考虑重置网络栈管理员 PowerShell 执行netsh winsock reset和netsh int ip reset然后重启电脑。注意这两条命令会把整个 Windows 网络栈的配置重置影响范围很大只有在其它手段都无效时才用而且用之前务必把现有网络配置备份好正好对应标题里的备份还原技巧。3. 我实测最容易踩的四种改完就断网的坑3.1 配置写进 [experimental] 还是 [wsl2]版本不一样结果不一样前面说过配置节的问题。我实际碰到过一个场景公司的一台 Windows 11 机器WSL 是 1.2.x按网上教程在[experimental]下写了networkingModemirrored保存、shutdown、重启后WSL 里ip addr显示的还是老面孔配置完全没生效。后来又有个同事在 2.0.x 的版本上用[experimental]写发现 WSL 启动时甚至会打印警告说该配置节已废弃。正确姿势先wsl --version看版本。2.0 以上优先把networkingMode写在[wsl2]节下如果用的是官方早期版本保留的[experimental]写法建议迁移到[wsl2]。切换网络模式前先测一次wsl --shutdown后配置是否生效用ip addr看网卡是虚拟网段还是物理网段比反复改配置高效得多。3.2 mirrored 模式下 DNS 配置没跟上域名解析全部超时这个坑是遇到的最多的形态之一改 mirrored 成功后WSL 里ping 223.5.5.5完全通但ping www.baidu.com一直超时。看/etc/resolv.confnameserver 指向的还是 NAT 时代的老网关 IP。问题根源在于 WSL2 自动生成/etc/resolv.conf的逻辑在 mirrored 模式下会有点跟不上尤其是当.wslconfig里没有显式写dnsTunnelingtrue或者你手动改过/etc/wsl.conf里的generateResolvConffalse时。处理办法先确认.wslconfig里dnsTunnelingtrue已经设置然后wsl --shutdown重新进。如果/etc/resolv.conf还是不对检查/etc/wsl.conf把[network]节下generateResolvConf设为 true或者直接删掉[network]节的这个自定义项让 WSL 自动生成。注意修改/etc/wsl.conf后也要wsl --shutdown重启。如果还是解析不了可以临时手动指定一个公共 DNS 测试sudo sh -c echo nameserver 223.5.5.5 /etc/resolv.conf能通就说明问题确实在 DNS 自动生成链路而不是其它地方。要提醒的是手动指公共 DNS 只是临时手段因为 WSL 每次重启可能会覆盖/etc/resolv.conf治标不治本。最终要解决的是自动生成逻辑和配置之间的配合。3.3 防火墙和安全软件把虚拟网卡拦了个干净镜像模式一开WSL 的流量在 Windows 看来更像是本地流量这时候 Windows 防火墙对 Hyper-V 虚拟网络的处理方式会发生变化。某些安全软件会把新出现的 vEthernet 虚拟网卡当成未知网络或高风险网络默认禁止它访问外部网络。表现是WSL 里拿得到 IPping 网关也通但一到外网就全军覆没。排查方式就是上面说的——临时关闭防火墙和安全软件的网络防护分段确认。确定是防火墙的锅之后再针对性地加白规则而不是放任关闭。从 Windows 防火墙放行 WSL 的常用姿势在防火墙高级设置里找到和Hyper-V或WSL相关的入站/出站规则有些版本会有专门的 vEthernet (WSL) 配置文件把它们设置为允许。如果找不到对应规则也可以用命令行给特定程序加规则例如netsh advfirewall firewall add rule nameWSL Allow dirout actionallow programC:\Windows\System32\wsl.exe。这里的关键是只放行 WSL 相关流量不要图省事把整个防火墙关了。3.4 从 mirrored 切回 NAT 后网卡配置残留需要重置网络栈还有一种情况是我一开始没预料到的用户从 mirrored 切回 NAT反而更上不了网。原因是网卡层面的状态残留——切换模式时旧模式的网络桥接关系和防火墙状态没有完全清理干净。这个时候常规的wsl --shutdown往往不起作用。我的处理顺序是先确认.wslconfig已改回到networkingModeNAT执行wsl --shutdown管理员 PowerShell 执行netsh winsock reset和netsh int ip reset重启 Windows再次进入 WSL观察 eth0 是否恢复到 172.x 网段这个流程能解决绝大多数切回 NAT 后出不去网的问题。netsh winsock reset会重置 Winsock 目录有些网络代理类软件可能需要重新配置或重新安装执行前确认你已经保存了相关配置信息。4. 备份与还原改之前两分钟比断网后两小时值钱说实话绝大多数改网络模式断网的惨案根源不是配置本身有多难而是没考虑回滚。我后来给自己定了一条铁律任何和 WSL2 网络相关的修改先备份再动手。4.1 轻量级备份.wslconfig 和 hosts 等多配置项一键打包修改.wslconfig之前最轻量的备份就是把原文件复制一份改名copy /y %UserProfile%\.wslconfig %UserProfile%\.wslconfig.bak同时/etc/hosts、/etc/resolv.conf、/etc/wsl.conf这几个 WSL 内部的网络相关配置文件也建议备份。不进 WSL 的话可以直接从 Windows 的\\wsl$\发行版名\etc\路径访问。用文件资源管理器输入\\wsl$\Ubuntu\etc\hosts就能复制出来。4.2 发行级备份wsl --export / --import 的正确姿势如果改完配置后不仅网络坏了整个发行版文件系统也出现异常或者你想在还原配置之前把当前环境完整留存就要用到发行级备份。导出命令wsl --shutdown wsl --export Ubuntu %UserProfile%\ubuntu-backup.tar新版 WSL 还支持直接导出 vhdx 格式更接近虚拟机快照wsl --export Ubuntu %UserProfile%\ubuntu-backup.vhdx --vhd还原时如果原来的发行版还在可以用wsl --unregister Ubuntu注销掉会删除该发行版全部数据谨慎再导入wsl --import Ubuntu %UserProfile%\WSLDistros\Ubuntu %UserProfile%\ubuntu-backup.tar讲两个容易被忽略的细节导出前务必wsl --shutdown否则文件可能处于写缓存状态导出的包不完整。wsl --import导入的是一个新的 WSL 发行版实例如果你不想覆盖原实例可以把导入后的发行版名改成其它名字比如Ubuntu-Backup验证网络正常后再切换默认发行版。这样风险更低。4.3 系统网络组件备份防火墙策略与网卡配置切换网络模式导致断网需要动到 Windows 侧网络组件时防火墙策略和网卡配置也要备份。导出防火墙策略管理员命令行执行netsh advfirewall export %UserProfile%\firewall_policy.wfw日后需要还原netsh advfirewall import %UserProfile%\firewall_policy.wfw这个备份的价值在于很多人为了排查断网会临时关防火墙排查完忘了开或者期间防火墙规则已经变了有这个导出包就能一键回到排查前的状态。网卡配置备份更简单把关键信息落盘即可后续对照用ipconfig /all %UserProfile%\network_ipconfig.txt route print %UserProfile%\network_route.txt netsh interface ipv4 show config %UserProfile%\network_netsh_ipv4.txt4.4 给你一个可以直接用的 bat 快照脚本把上面这些命令组合成一个脚本改配置前双击运行一次就能拿到全套后悔药。脚本内容如下保存为wsl-backup.bat用管理员身份运行echo off chcp 65001 nul for /f %%i in (powershell -NoProfile -Command Get-Date -Format yyyyMMddHHmmss) do set TS%%i set BACKUP_DIR%UserProfile%\WSLBackup_%TS% mkdir %BACKUP_DIR% 2nul echo [1/5] 备份 .wslconfig if exist %UserProfile%\.wslconfig copy /y %UserProfile%\.wslconfig %BACKUP_DIR%\.wslconfig.bak nul echo [2/5] 备份 Windows 防火墙策略 netsh advfirewall export %BACKUP_DIR%\firewall_policy.wfw nul echo [3/5] 备份网络配置 ipconfig /all %BACKUP_DIR%\ipconfig_all.txt route print %BACKUP_DIR%\route_print.txt netsh interface ipv4 show config %BACKUP_DIR%\netsh_ipv4_config.txt echo [4/5] 备份 WSL 发行版默认导出 Ubuntu按需修改 wsl --shutdown wsl --export Ubuntu %BACKUP_DIR%\ubuntu-backup.tar echo [5/5] 完成 echo 备份目录%BACKUP_DIR% pause几点说明第 4 步的发行版名称请用wsl -l -q确认后修改不一定是 Ubuntu。如果发行版数据很大导出过程会比较慢你只想备份配置的话把第 4 步删掉或注释掉即可。脚本用 UTF-8 编码保存控制台中文显示会更正常如果双击运行后中文乱码改成 ANSI 编码保存再试。netsh advfirewall export需要管理员权限所以脚本务必右键以管理员身份运行。5. 修改网络模式的安全操作流程与长期预防5.1 一套稳妥的修改步骤依照我踩过的坑现在修改网络模式我是固定按这个流程走的运行备份脚本上面那个 batwsl --version确认 WSL 版本、wsl -l -v确认发行版是 WSL2修改.wslconfig确认节名、键名、文件编码wsl --shutdown重新进入 WSL用ip addr检查网卡 IP 变化是否符合预期快速执行上面的五段式连通性测试如果正常任务完成如果不正常回滚.wslconfig.bak再次wsl --shutdown重新测试整个过程不超过十分钟却能把原来动辄一晚上的断网排查压缩成一个可控的操作窗口。5.2 把常用恢复命令固化成一个恢复脚本除了备份脚本我还会留一个wsl-network-restore.bat里面放的是恢复出厂网络状态的常用命令echo off chcp 65001 nul echo [1/4] 关闭 WSL wsl --shutdown echo [2/4] 重置 Winsock netsh winsock reset echo [3/4] 重置 TCP/IP 栈 netsh int ip reset echo [4/4] 提示重启 echo 请重启 Windows 后再测试 WSL 网络 pause注意这个脚本会把网络栈整个重置一次影响所有网络软件务必只在其他手段无效时执行。执行完重启系统然后再按五段式测试重新验证。5.3 哪些场景真的需要改 mirrored哪些不需要最后说点实在的。mirrored 模式虽然听起来功能强大但它不是所有人都有必要改。如果只是日常在 WSL 里跑编译、跑脚本、装软件包默认的 NAT 模式是稳定性最高的选择没必要动。如果需求是局域网里的其它设备能直接访问 WSL 里的服务在 NAT 模式下其实可以用netsh interface portproxy做端口转发实现netsh interface portproxy add v4tov4 listenaddress0.0.0.0 listenport8080 connectaddress127.0.0.1 connectport8080配合 Windows 防火墙放行 8080 端口局域网设备就能通过 Windows 的 IP 访问 WSL 里监听 8080 的服务。这个方案比改 mirrored 模式要稳得多。只在确实遇到 NAT 模式无法满足的场景比如 WSL 里映射端口到局域网不顺畅、IPv6 支持不足、局域网内双向访问要求很高时才建议尝试 mirrored而且务必先备份再改。我自己在实际项目里遇到过一回为了让局域网的测试机直接访问 WSL 里跑着的 Web 服务脑子一热改了 mirrored结果搞到半夜还在折腾。后来用回 NAT 端口转发的方案十分钟搞定。那次之后我文件夹里就常备了备份脚本和恢复脚本每次改网络配置前先拍一张快照心里踏实很多。希望这篇记录能让你少走同样的弯路。
