hyper-v虚拟网络隔离需通过外部+内部虚拟交换机组合、避让常见私有网段的地址规划（如172.21.30.0/24）、pve双网卡分用途配置（外网dhcp/静态、内网静态无网关）实现二层逻辑隔离。
在 hyper-v 环境中实现虚拟网络隔离，核心不是“多加几块网卡”，而是通过虚拟交换机类型选择 + 地址规划 + 分层配置构建逻辑清晰、互不干扰的通信域。关键在于让外网流量和内网管理/实验流量走完全独立的路径，从二层开始就断开耦合。
选对虚拟交换机类型是隔离的前提
Hyper-V 提供三种交换机，隔离方案只用其中两类：
- 外部虚拟交换机：绑定物理网卡，用于连接互联网或企业办公网。PVE 虚拟机挂在这类交换机上，才能访问外网（如 apt 更新、下载容器镜像）。启用“允许管理操作系统共享此网络适配器”后，宿主机也能共用该出口。
- 内部虚拟交换机：纯软件定义的二层网络，不接触物理网卡。它只连通宿主机（Windows）和所有挂在此交换机上的虚拟机。这是构建安全内网的基础——没有物理出口，天然隔离。
- 避免使用“专用虚拟交换机”，它仅限虚拟机之间通信，宿主机无法接入，会切断你对 PVE 的管理通道。
内网地址段必须避开常见冲突
很多配置失败，根源在 IP 地址选错。不要用 192.168.1.0/24 或 10.0.0.0/24 这类泛滥网段，极易与公司路由器、家用光猫或 Docker 默认网桥冲突。
- 推荐使用 172.21.30.0/24 或 172.20.100.0/24：属于 RFC 1918 私有地址范围，企业环境中使用率低，冲突概率小。
- 宿主机侧的虚拟适配器（即内部交换机对应的 vEthernet 接口）需手动设为 172.21.30.1/24，作为该内网的默认网关。
- PVE 虚拟机的内网网卡（如 enp0s10）则配为 172.21.30.2/24，并把网关指向 172.21.30.1。
PVE 系统内需明确区分两张网卡用途
安装完 PVE 后，系统通常能自动识别两块虚拟网卡（如 enp0s8 和 enp0s10），但默认不会按意图配置。必须手动编辑网络文件：
- 外网卡（接外部交换机）建议用 DHCP 获取地址，或配静态公网/局域网地址，确保能访问互联网；
- 内网卡（接内部交换机）必须配静态地址，且不能设网关（网关已在宿主机侧提供），否则可能引发路由环路；
- 检查
/etc/network/interfaces，确认两张网卡的配置互不干扰，尤其注意post-up和pre-down脚本是否误加了全局路由规则。
验证隔离是否真正生效
配完别急着用，用几个命令快速确认：
- 在 PVE 中 ping 宿主机内网 IP（如 172.21.30.1）→ 应通；
- 在 PVE 中 ping 外网地址（如 8.8.8.8）→ 应通；
- 在宿主机中 ping PVE 内网 IP（172.21.30.2）→ 应通；
- 在宿主机中 ping PVE 外网 IP → 应不通（除非你主动开了端口转发）；
- 在 PVE 中执行
ip route show→ 应只有一条默认路由指向外网网关，内网网段应为直连路由（scope link）。
