宝塔面板在NAT模式下无法访问，主因是端口未转发、监听地址错误或防火墙拦截；需确认监听0.0.0.0:8888、关闭firewalld/SELinux、配置NAT端口映射，并确保静态IP与虚拟网络子网匹配。
虚拟机用 NAT 网络时，宝塔面板打不开？先确认端口是否通
宝塔面板默认监听 8888 端口，NAT 模式下宿主机无法直接访问虚拟机的该端口，除非手动做端口转发。很多人配完静态 IP 就去浏览器输 http://192.168.x.x:8888，结果连不上——不是宝塔没装好，是网络根本没通。
实操建议：
- 在虚拟机里执行
netstat -tuln | grep :8888，确认bt进程确实在监听0.0.0.0:8888（而非127.0.0.1:8888） - 检查防火墙：
systemctl status firewalld或ufw status，若启用，临时关掉或放行8888和80端口 - VirtualBox / VMware 需手动配置 NAT 端口转发：宿主机端口（如
8080）→ 虚拟机192.168.56.10:8888；VMware Workstation 在「虚拟网络编辑器」→「NAT 设置」里加规则，VirtualBox 在「设置 → 网络 → 高级 → 端口转发」里填
为什么静态 IP 不能直接设成 192.168.1.x？NAT 子网范围必须匹配
NAT 模式下，虚拟机获得的 IP 不是由物理路由器分配的，而是由虚拟网络 DHCP 服务（如 VMware 的 vmnet8、VirtualBox 的 VBoxNetDHCP）动态分发的。硬写一个物理局域网的地址（比如你家路由器是 192.168.1.1），会导致路由混乱、ping 不通、DNS 失效。
正确做法：
- 查清虚拟 NAT 网段：VMware 中打开「虚拟网络编辑器」，看
vmnet8的子网 IP（常见为192.168.199.0或192.168.233.0）；VirtualBox 查「主机网络管理器」里vboxnet0的 IPv4 地址和子网掩码 - 静态 IP 必须落在该子网内，且避开 DHCP 分配范围（例如子网
192.168.199.0/24，DHCP 范围是192.168.199.128–254，那你可以设192.168.199.10） - 网关填该子网的网关地址（通常是
.1，如192.168.199.1），DNS 可填192.168.199.1或8.8.8.8
宝塔安装后提示「无法连接服务器」或「ERR_CONNECTION_REFUSED」
这通常不是宝塔本身的问题，而是系统服务或网络策略拦截了连接。尤其在 CentOS 7+/Rocky 8+ 上，firewalld 和 selinux 是两个高频拦截点。
排查步骤：
- 运行
bt default查看面板地址和端口，确认输出中显示的是http://xxx:8888，而不是https://（新版本默认不启 HTTPS） - 执行
systemctl is-active bt，确保状态是active (running)；若失败，看日志：journalctl -u bt -n 50 --no-pager -
getenforce查 SELinux 状态，若为Enforcing，临时设为宽容模式：setenforce 0（仅测试用，别在生产环境关） - 宿主机浏览器访问前，先在虚拟机内执行：
curl -I http://127.0.0.1:8888，成功说明宝塔正常；再curl -I http://192.168.199.10:8888（换成你的静态 IP），失败则说明监听地址不对或防火墙拦了
改完静态 IP 后宝塔登录页能打开，但网站打不开？检查 Nginx/Apache 是否绑定到正确 IP
宝塔面板能访问，不代表建站环境就通了。新建站点时，默认绑定的是 0.0.0.0，但如果你在「网站 → 设置 → 域名」里手动绑定了某个具体 IP（比如旧的 DHCP 地址），或者 Nginx 配置里写了 listen 192.168.1.100:80，换静态 IP 后就会 502 或连接被拒。
解决方法：
- 进宝塔「网站」列表，点对应站点 → 「设置」→ 「域名管理」，删掉所有带旧 IP 的绑定，只留
www.xxx.com或空（表示监听所有 IP） - 检查 Nginx 配置文件：
/www/server/panel/vhost/nginx/xxx.conf，确认server { listen 80;没有写死 IP；如有，改成listen 80;或listen 0.0.0.0:80; - 重启服务：
bt 1（重启 Nginx）或bt 2（重启 Apache）
静态 IP 改动影响的不只是网络连通性，它会传导到防火墙规则、Web 服务绑定、SSL 证书 SAN 字段（如果用了泛域名）、甚至宝塔监控里的“服务器 IP”显示。每次修改后，建议顺手跑一遍 bt 16（重载面板服务）和 bt 1，再验证全链路。
