Windows Server 2025 / 选择 Hyper-V 虚拟交换机并创建专用网络

Hyper-V 虚拟交换机决定虚拟机（Virtual Machine，VM）通过所连接网卡能与哪些计算机通信。外部交换机连接物理网络；内部交换机连接相关 VM 与主机；专用交换机连接同一主机上接入同一交换机的 VM。先按访问和隔离需求选类型，再单独配置来宾系统中的地址。

比较外部、内部和专用交换机

创建内部或专用交换机不会自动提供 DHCP 或 Internet。内部交换机上的网络地址转换（Network Address Translation，NAT）是另一项设计，需要规划前缀、主机接口、网关以及与已有网络的兼容性。WinNAT 本身也不会为 VM 分配地址。本练习创建专用交换机，不配置外部路由。仍须检查来宾的其他网卡、网桥和路由功能；交换机名称本身不能保证所有可能路径都已隔离。

外部交换机绑定物理网卡。允许管理操作系统共享该网卡，会改变主机的网络路径，并可能中断远程会话。进行这种变更前，应记录 IP、网关、虚拟局域网（VLAN）及管理入口。参阅交换机创建和管理系统共享说明。不要为快速排除实验故障，就在没有恢复方案的情况下把已有连接改成外部交换机。

移动 VM 前先规划连接范围

使用已安装 Hyper-V 并在重启后验证的 HV1及具有管理权限的账户。为测试 VM HVTEST01 新建名为 Lab-Private 的交换机。如果还没有该 VM，可以先创建交换机，待 VM 就绪后再做来宾验证。不要只因现有隔离交换机名称不同，就移动正常运行的 DC1 或 FS1；这可能中断名称解析、DHCP 和管理。修改前记录每台测试 VM 的原网卡连接。

• 将示例 172.24.50.0/24 与局域网、虚拟专用网络（VPN）和实验清单比较。若重叠，规划另一个一致的地址范围；不要未经依赖检查就给现有服务器重新编号。
• 逐一确认网卡实际接入的交换机和主机。两台不同交换机不会因来宾使用相同子网编号而互通。
• 测试 DHCP 只能运行在获准的隔离网段内。不要仅为取得租约就把该 DHCP VM 接到物理网络。
• 若主机必须通过 IP 通信，应规划内部交换机以及主机虚拟网卡和地址。不要未经检查就改变其他来宾共同使用的交换机。

没有路由器的网段应将网关留空，虚构一个地址不会产生出口。域成员仍需使用对应的内部域名系统（Domain Name System，DNS）；把公共 DNS 填作备用不能修复域名称解析。Hyper-V 网络规划区分交换机与网卡：相同的子网编号并不会把不同虚拟网络连接起来。

创建专用交换机

1. 在 Hyper-V 管理器中选择 HV1，确认管理连接正确。保留控制台访问，不修改其他 VM 的网络。
2. 打开“虚拟交换机管理器”，添加前先查看已有名称。
3. 选择“专用”和“创建虚拟交换机”，确认没有选成“外部”或绑定物理网卡。
4. 填写原样名称 Lab-Private，并说明其隔离实验用途。同名对象已存在时应停止，核对所属用途、类型和连接网卡，不要覆盖或删除它来继续。
5. 应用后重新选择该交换机，确认名称 Lab-Private、类型“专用”。这还没有验证来宾配置。

也可在 HV1 上以管理员身份打开 Windows PowerShell。下面的例子发现同名交换机时会停止，供您先检查，而不是复用他人的对象。New-VMSwitch 的 SwitchType Private不需要绑定物理网卡。选择图形方法或此代码块即可，不要在图形界面已成功创建后再次运行相同名称的创建命令：

if (Get-VMSwitch -Name 'Lab-Private' -ErrorAction SilentlyContinue) {
    throw 'A switch with this name already exists. Review it first.'
}
New-VMSwitch -Name 'Lab-Private' -SwitchType Private
Get-VMSwitch -Name 'Lab-Private' | Select-Object Name,SwitchType

最后的查询应返回 Name 为 Lab-Private、SwitchType 为 Private。同名检查触发停止时，先查看对象；需要其他名称时，全程一致地使用自己选定的新名称。不要删除保护检查来盲目复用对象。SilentlyContinue 会抑制找不到名称的错误，但权限或连接问题也不能说明清单为空。查询或创建出现错误时应停止，核对 HV1、权限和实际结果再继续。没有输出不能视为创建成功。

分别验证 VM 连接与来宾 IP

HVTEST01 就绪后，在 Hyper-V 管理器中打开该 VM 的“设置”，选择预定的“网络适配器”，将虚拟交换机设为 Lab-Private。核对 VM 与网卡，只对自己的测试机应用修改。虚拟网卡连接不会自动设置来宾中的 IP、掩码、网关或 DNS。验证来宾之间的通信，还需要同一主机和交换机上的另一台获准测试 VM，不能拿正在工作的域服务器临时替代。

1. 在每台来宾中运行 ipconfig /all，检查预定网卡、IPv4、掩码、DHCP 或静态地址来源及 DNS。不要把另一块网卡误认成实验接口。
2. 为同一网段设置唯一地址，或确认隔离环境内有意提供的 DHCP 租约。仅作为无冲突隔离实验的静态示例，可以使用 172.24.50.101 和 172.24.50.102，掩码均为 255.255.255.0。先确认地址未被占用且不与 DHCP 作用域冲突，记录原值，无路由器时网关留空。在 Windows 来宾中打开 ncpa.cpl → 网卡属性 → Internet 协议版本 4（TCP/IPv4）→ 属性，选择手动配置，填写地址和掩码，并使用符合来宾角色的 DNS。不要改动主机管理网卡。
3. 从一台来宾测试另一台的地址和预定服务。服务必须监听且有适当规则允许；打开获准共享所验证的内容不同于 ping。记录目标、操作和错误，不要同时修改地址、VLAN 和防火墙。
4. 使用预定名称及正确身份访问同一目标。IP 可用而名称失败时检查解析和 DNS；服务能响应却拒绝访问时检查认证和权限。不要把这些结果等同。

主机无法直接通过 IP 访问专用交换机中的来宾，可能正是预期行为。VMConnect 通过 Hyper-V 管理通道打开 VM 控制台，不依赖这条来宾 IP 路径。ping 成功不能证明服务端口、访问权限或按名称认证正常；ping 失败也不能直接证明交换机错误。应检查相关防火墙规则，而不是全局关闭防火墙。

排查故障并仅移除测试交换机

只有在网卡和相关设备具有一致的端到端网络设计时，才配置 VLAN。移除 Lab-Private 前，清点全部已连接 VM 和网卡，包括关机的 VM，并保留仍需要的连接。对要保留的测试机，恢复已记录的原连接及来宾设置，或按清理计划保持断开。之后只在虚拟交换机管理器中移除自己新建的测试交换机，并确认它不再出现。不要删除其他交换机、主机网卡或 VM 磁盘；移除仍被使用的交换机会切断其网卡连接。