在Hyper-V中配置专用虚拟交换机可实现虚拟机间完全隔离的私有网络：创建时不绑定物理网卡、不共享给宿主机；虚拟机需手动连接该交换机；验证时应获APIPA地址、无法访问宿主机或外网，仅同交换机内虚拟机可互通；建议禁用集成服务、不配网关/DNS，并使用差分磁盘与快照保障环境纯净。

在 hyper-v 中配置专用虚拟交换机，是实现纯虚拟机间隔离网络最直接的方式——它不连宿主机、不碰物理网卡、也不通外网，天然形成一个封闭通信域。

创建专用虚拟交换机

这是整个隔离网络的物理基础。专用交换机只允许挂载其上的虚拟机互相通信，其他一切通路都被切断。

• 打开Hyper-V 管理器 → 右侧点击“虚拟交换机管理器”
• 选择“新建虚拟网络交换机” → 类型选“专用”
• 命名（如 Lab-Private-Switch），不绑定任何物理网卡，也不勾选“允许管理操作系统共享此网络适配器”
• 点击“确定”完成创建

为虚拟机分配专用网络

只有把虚拟机明确连接到这个专用交换机，隔离才真正生效。默认网络适配器仍连着旧交换机，必须手动切换。

• 右键目标虚拟机 → “设置” → 左侧选“网络适配器”
• 在“虚拟交换机”下拉菜单中，选择刚创建的专用交换机（如 Lab-Private-Switch）
• 确认已禁用“启用网络保护”等可能绕过隔离的附加功能（如有）

验证隔离是否生效

开机后不要着急配置 IP，先观察底层状态是否符合预期：

• 虚拟机内打开命令提示符，运行 ipconfig —— 应看到 IPv4 地址为 169.254.x.x（APIPA 自动私有地址），说明未获取到 DHCP 且无路由可达
• 尝试 ping 宿主机 IP 或公网地址（如 8.8.8.8）→ 全部超时，证明外部通路已断开
• 启动两台都连该专用交换机的虚拟机，彼此 ping 对方 IP（需手动配同网段静态地址）→ 应能通，确认内部连通性正常

配套建议：增强隔离可靠性

专用交换机解决的是网络层隔离，但完整沙箱还需配合其他设置：

• 关机后禁用集成服务：进虚拟机设置 → “集成服务” → 全部取消勾选，尤其关闭“数据交换”（剪贴板/拖放），防止隐性通道泄露
• 不配网关和 DNS：在虚拟机内手动设静态 IP 时，只填 IP 和子网掩码，不填网关、不设 DNS，避免意外触发路由或解析行为
• 差分磁盘 + 快照：基于干净镜像建差分盘，每次实验前打快照，结束后一键还原，确保环境可反复重置