WSL2 网络异常排查 [ping 不通、网络地址异常、缺少默认路由、被宿主机防火墙拦截]

最近在使用的 wsl2 的时候突然发现 wsl2 无法正常联网，即 ping 不通外网以及宿主机的 wsl 网卡。但是将 wsl 版本设置为 1 就可以联网了。

如果你是正常使用的时候，并且自己没有手动修改过 主机 和 WSL2 的网络配置，然后就忽然发现 WSL2 不能正常访问网络了，这个时候你重启一下 WSL2 大概率就可以工作了。

# 重启 WSL 指令
$ wsl --shutdown
# 之后就重新启动进入即可
$ wsl 

如果还不行就参考下面的过程一个个的排查吧。我会尽可能的把各种情况复现然后拿出来讲。

WSL2 和 WSL1 的网络的区别

在讲解问题之前先来了解一下 WSL2 和 WSL1 在网络上的不同，WSL1 是共享宿主机的网络栈，即 WSL1 共享主机 IP，并没有自己独立的逻辑网卡，也即没有自己独享的 IP 地址。类似于 Docker 网络的 host 模式。

                                                                                     图 1 wsl1 与 宿主机网络关系

如上图，两者在与外部通信的均使用的是 192.168.1.10。下图是一张 wsl1 和 宿主机的网络接口状态。

                            图 2 wsl1 与 宿主机网络地址对比

然 wsl2 则可以理解为宿主机完整虚拟出来的一个完整的 Linux 虚拟机，拥有自己的逻辑上独立的网卡，也即拥有属于自己的独立网络栈。与 VMware 的 bridge 模式和 docker 的 macvlan 模式类似。

        

                      图 3 wsl2 与 宿主机的网络拓扑图

上图描述了两者在逻辑上的关系，从上图就可以看到 WSL2 要与外界进行通信，就必须保证 WSL2 能正常访问宿主机（ 所以这里就存在宿主机的防火墙拦截问题 ），因为宿主机是其与外部进行通信的桥梁。要保证 WSL2 与宿主机的通信正常就要确认两者的IP地址是否在同一个网段， 其次 WSL2 的默认路由必须是宿主机在同一网段的地址（172.25.32.1/20） 。

排查过程

经过排查发现，我主要是以下三方面的原因。

1）宿主机的 WSL 网卡 和 wsl2 的外部通信的网卡 eth0 网络配置信息不一致

查看 宿主机 和 wsl2 的网络状态

通过 IP 与子网掩码的计算，可以知道知道两者的明显不在一个子网。所以第一步需要通过配置让两者在同一个子网，这里选择改动 WSL2。

通过 IP 与子网掩码的计算，可以知道知道两者的明显不在一个子网。所以第一步需要通过配置让两者在同一个子网，这里选择改动 WSL2。

$ sudo ifconfig eth0 172.25.46.6 netmask 255.255.240.0 

可以看到 WSL2 不能访问宿主机，但是宿主机可以访问 WSL2。所以很可能就是宿主机的防火墙拦截了 WSL2 对宿主机的访问。还有一种情况就是防火墙规则里面默认禁用了 ICMP 的应答(ping 的实现就是基于 ICMP 协议)。

小提示：
禁用 ICMP 的应答是一种最简单也是最常见的隐藏网络主机的方式。对于桌面版的 Windows 通常默认是没有禁用的，但是你如果安装了“XX安全管家、XX安全卫士”加固过电脑的话，大概率就会将 ICMP 的回显给禁用掉。
对于操作系统的 防火墙 通常都会对入网方向进行严格的限制，即禁止外部主机随便的访问我提供的服务。所以当出现外部主机无法访问本机提供的对外服务的时候就要考虑是不是主机的防火墙限制了访问。

2）宿主机的网络防火墙拦截了 wsl2 的数据流量

首先暴力关闭 window10 的防火墙，然后再次 ping 宿主机。

所以可以确定就是宿主机防火墙拦截了宿主机的 ICMP 的回显，为了方便 WSL2 与宿主机进行无障碍沟通，我们可以禁用防火墙，但是很显然这样宿主机就完全暴露在公网之上，安全性无疑就大大折扣，所以最佳的做法就是我们添加一条入站规则： 仅允许 WSL2 所在的网段主机对宿主机进行无障碍访问 。

 

到这里就创建好了，我们只需启用规则然后就可以无障碍的访问宿主机了。

可以看到此时宿主机已经可以被 PING 通。此时 主机提供的 任何对外的网络服务 WSL2 均可以访问。[ 因为我们只是对网络地址做了限制，并没有限制协议、端口等

原文查看：WSL2 网络异常排查 [ping 不通、网络地址异常、缺少默认路由、被宿主机防火墙拦截] - 简书 (jianshu.com)