KVM XML中不能写死IP，因KVM仅模拟网卡MAC而不管理Guest内IP分配；需通过DHCP按MAC分配固定IP，或Guest内脚本解析MAC并配置IP，同时须禁用libvirt内置DHCP及NetworkManager干扰。
为什么不能直接在KVM XML里写死IP
KVM本身不管理Guest内的网络配置，virsh edit 修改的XML只影响宿主机侧的设备模拟（比如<mac address="52:54:00:12:34:56"></mac>），它不会自动把MAC映射成Guest里的IP。你改了MAC，Guest系统根本不知道——除非你在Guest里自己处理这个映射关系。
核心方法：用DHCP服务器按MAC分配固定IP
这是最干净、可维护性最强的做法，适用于批量部署场景。关键不是“绑定”，而是“按MAC地址下发指定IP”。你需要：
- 确保KVM虚拟机网卡使用
virtio或e1000等标准驱动，能正常获取DHCP - 在宿主机上运行一个轻量DHCP服务（如
dnsmasq），并禁用libvirt默认的内置DHCP（避免冲突） - 在
dnsmasq.conf中写明MAC→IP映射，例如：dhcp-host=52:54:00:12:34:56,192.168.122.100,vm-01,12h
- 重启
dnsmasq，并确认libvirt网络桥接指向该DHCP服务（而非libvirt自带的dnsmasq --no-daemon进程）
这样每次虚拟机启动，只要MAC不变，就拿到固定IP，且无需修改Guest内任何脚本。
Linux Security Scanner
下载
Linux 安全审计工具，检查 SSH 配置、开放/监听端口、防火墙规则（ufw/iptables/nftables）、失败登录尝试、sudoers 权限...
替代方案：Guest内用MAC查表设IP（适合无DHCP环境）
如果你无法控制DHCP服务（比如只能用NAT默认网络），就得让Guest自己解析自己的MAC并配IP。注意几个硬伤：
-
ip a输出格式不稳定，不同发行版/内核版本里eth0可能叫ens3或enp0s3，建议用ip -br a | awk '$1 ~ /^e/ {print $1}' | head -n1动态取网卡名 - 脚本必须放在
/etc/rc.local或systemd服务里，并加锁（如/root/.ip_set），否则重启后重复执行会出错 - MAC提取别用
awk '/eth0/{getline;print}'这种脆弱写法，改用：my_mac=$(cat /sys/class/net/$(ip -br a | awk '$1 ~ /^e/ {print $1}' | head -n1)/address 2>/dev/null) - CentOS/RHEL 8+ 默认不用
network-scripts，要用nmcli或nmstate，ifcfg-eth0文件无效
容易被忽略的关键点
很多人卡在“明明MAC设对了，IP还是变”，其实问题常出在两处：
- libvirt网络定义里开了
<dhcp></dhcp>但没关掉，导致Guest同时收到两个DHCP响应（libvirt内置 + 你配的dnsmasq），结果IP随机；必须删掉<dhcp></dhcp>块，或显式禁用libvirt的DHCP：virsh net-edit default && # 删除 <dhcp>...
- Guest内NetworkManager开着，它会抢在你的脚本前重置网卡——要么
systemctl disable NetworkManager，要么在脚本里加nmcli dev set $iface managed no
MAC地址本身是链路层标识，它和IP的绑定必须落在某一层：DHCP服务层、Guest网络配置层、或宿主机路由层。没有哪一层是“自动生效”的，漏掉任意一环，都会导致你以为绑定了，实际没生效。
