如何让Windows程序无需绑定0.0.0.0即可监听来自WSL的连接

基础原理说明 #

WSL2默认使用NAT模式的虚拟网卡，对应的vEthernet (WSL)网卡属于仅本机内部通信的私网子网，所有该子网内的流量默认不会流出物理网卡到公网，无需手动给WSL设置静态IP即可实现稳定访问。

第一步：识别WSL虚拟网卡信息 #

WSL虚拟网卡在Windows侧的别名是固定标准值vEthernet (WSL)，不受部署机器配置影响，可通过PowerShell直接获取对应网段信息：

Get-NetIPAddress -InterfaceAlias "vEthernet (WSL)" -AddressFamily IPv4 | Select-Object IPAddress, PrefixLength

输出的IP段默认属于172.16.0.0/12私网范围，不会和公网IP重叠。

第二步：服务绑定配置（核心保证不暴露外网） #

可根据实际场景选择任意一种方案：

• 极简方案（推荐）：服务绑定127.0.0.1
  Win10 21H2+、所有Win11版本的WSL2默认支持直接访问Windows侧的127.0.0.1地址，将服务绑定到127.0.0.1后：
  • 所有Windows本地进程可直接用127.0.0.1:端口访问服务
  • WSL内部也可直接用127.0.0.1:端口访问服务
  • 公网完全无法访问该服务，无需额外配置防火墙
• 兼容旧版WSL方案：绑定0.0.0.0+防火墙限制
  如果服务必须绑定0.0.0.0，可通过Windows防火墙限制仅WSL子网可访问对应端口，示例命令（假设服务端口为8080）：

  New-NetFirewallRule -DisplayName "Allow WSL Access Port 8080" -Direction Inbound -LocalPort 8080 -Protocol TCP -RemoteAddress "172.16.0.0/12" -Action Allow
  

  该规则仅允许WSL私网段的流量访问端口，公网流量会被默认阻止。

第三步：WSL侧访问验证 #

如果使用旧版WSL不支持访问127.0.0.1，可在WSL终端执行以下命令获取Windows侧WSL网卡的动态IP，用该IP+端口访问服务即可：

cat /etc/resolv.conf | grep nameserver | awk '{print $2}'

该IP会随WSL启动自动更新，无需手动维护。

兼容性说明 #

这套方案依赖WSL官方默认的网络实现规则，无需修改部署机器的物理网络配置、无需修改WSL静态IP，适配所有Win10 1903+及以上版本的WSL2环境。

内容的提问来源于stack exchange，提问作者Andrea Ratto