hyper-v虚拟机网络安全需分三层落实：主机windows防火墙（手动配置虚拟网卡规则）、虚拟交换机层（外部/内部交换机配合acl与防护功能）、虚拟机内os防火墙（按角色最小权限配置），而hyper-v防火墙仅适用于wsl2/容器，不适用于传统vm。
hyper-v 虚拟机的网络安全不能只靠主机防火墙“顺带管一管”，必须分层落实：主机系统层、虚拟交换机层、虚拟机操作系统层，三者各司其职，缺一不可。
主机Windows防火墙：守住第一道门
这是最直接可控的一层。Hyper-V本身不自带独立防火墙，而是复用Windows防火墙引擎，但需特别注意规则作用域：
- 默认规则（如“文件和打印机共享”）仅对物理网卡生效，不会自动应用到虚拟交换机绑定的虚拟网卡，必须手动创建针对虚拟适配器的入站/出站规则
- 关键服务端口需显式放行：例如启用Hyper-V副本功能时，必须启用“Hyper-V副本HTTP侦听器(TCP入站)”和“HTTPS侦听器”两条预置规则
- 禁止非授权远程管理：可通过组策略禁用远程桌面（fDenyTSConnections=1），或限制仅允许特定AD安全组访问RDP端口
虚拟交换机网络隔离：从流量源头切分
虚拟交换机不是透明管道，而是可配置的安全边界：
- 外部虚拟交换机：绑定物理网卡，对外暴露。建议配合“端口访问控制列表（Port ACL）”限制VM仅能访问指定IP段或端口（如只允许数据库VM连内网SQL服务器）
- 内部/私有虚拟交换机：完全隔离于物理网络。适合测试环境或敏感系统（如财务VM），此时主机防火墙规则无需开放任何入站端口，天然防横向渗透
- 启用“MAC地址屏蔽”和“DHCP防护”可防止VM伪造地址或私建DHCP服务器，避免ARP欺骗与中间人攻击
虚拟机内操作系统防火墙：最后一道防线
不要假设VM里装了Windows就等于安全——必须按最小权限原则配置：
- 每台VM应运行自己的防火墙服务（如Windows Defender Firewall），规则按角色定制：开发VM允许80/443/22，测试DB VM只允许3306/1433且限定源IP
- 避免使用“允许全部”的宽泛规则；优先用应用路径而非端口定义规则（如允许“C:\Program Files\MyApp\server.exe”监听8080，而非开放整个TCP 8080）
- 对于Linux VM，需在guest OS中部署iptables/nftables，并确保其策略不被宿主机网络策略覆盖（Hyper-V不干预guest防火墙逻辑）
Hyper-V防火墙（WSL/Hyper-V容器专用）：别混淆概念
注意：Windows 11 22H2+引入的“Hyper-V防火墙”（NetFirewallHyperVVMCreator）仅适用于WSL2和Windows容器等轻量级虚拟化场景，不作用于传统Hyper-V虚拟机。它的规则基于VMCreatorId（如WSL固定GUID），无法用于管理你手动创建的Windows/Linux VM。
若你在PowerShell中执行Get-NetFirewallHyperVVMCreator只看到WSL条目，说明该机制未被传统VM触发——这是设计使然，不必强行套用。
