Vagrant虚拟机内Flask应用无法从宿主机访问故障排查

该访问故障和/etc/hosts配置无关，核心是两处配置错误：

1. Flask服务绑定地址错误：写在if __name__ == "__main__":块中的app.run(host="0.0.0.0")配置，仅在直接执行python3 /flaskapp/app.py时才会生效。使用flask run命令启动时，Flask CLI默认仅绑定127.0.0.1回环地址，仅接受虚拟机本地发起的访问请求，不响应虚拟网卡转发的外部流量，导致端口转发的流量无法到达Flask服务。
2. 虚拟机防火墙默认拦截：使用的geerlingguy/centos7镜像默认开启firewalld防火墙，未放行5000端口的入站流量，即使服务绑定正确也可能被拦截。

• 第一步：启动Flask时显式指定绑定0.0.0.0地址，执行以下命令启动：

export FLASK_APP='/flaskapp/app.py'
export FLASK_ENV='development'
cd /flaskapp
python3 -m flask run --host=0.0.0.0 --port=5000

也可以直接执行python3 /flaskapp/app.py启动，会触发代码中写好的0.0.0.0绑定配置，效果一致。
启动后在虚拟机内执行ss -tulnp | grep 5000验证，输出中监听地址显示为0.0.0.0:5000即为绑定正确。

• 第二步：放行虚拟机防火墙的5000端口，执行以下命令：

# 临时放行，重启后失效，可用于快速验证
sudo firewall-cmd --add-port=5000/tcp
# 永久放行配置
sudo firewall-cmd --add-port=5000/tcp --permanent
sudo firewall-cmd --reload

完成以上两步后，宿主机即可正常通过http://localhost:5000/home访问服务。

按照从内到外的顺序逐层排查，无需盲目修改配置：

• 先验证服务本身可用性：在虚拟机内部执行curl 127.0.0.1:服务端口，确认服务可以正常响应，排除服务本身启动失败的问题。
• 验证服务监听地址：在虚拟机内执行ss -tulnp | grep 服务端口，确认监听地址为0.0.0.0:端口或:::端口，如果显示为127.0.0.1:端口，说明服务仅接受本地访问，修改服务启动配置绑定0.0.0.0即可。所有需要被外部访问的服务都不能仅绑定127.0.0.1，这是此类问题最高发的错误点。
• 验证系统防火墙规则：确认虚拟机系统防火墙（CentOS默认为firewalld、Ubuntu默认为ufw）已放行对应端口的入站流量，测试阶段可临时关闭防火墙快速定位是否为拦截问题。
• 验证虚拟机网卡连通性：在虚拟机内通过ip a查看虚拟网卡的非回环IP（通常为10.0.2.x段），执行curl 虚拟网卡IP:服务端口，如果这一步不通，优先排查服务绑定和防火墙配置。
• 验证端口转发规则：在宿主机执行vagrant port，确认存在对应端口的guest到host映射，同时检查宿主机的映射端口没有被其他程序占用，如果被占用可修改Vagrantfile中host字段的端口号换一个未被占用的端口。

内容的提问来源于stack exchange，提问作者user3535074