双网卡分工明确：NAT网卡负责外网访问，Host-Only网卡专用于宿主机与虚拟机内网通信，二者必须分属互不路由的独立广播域，禁用Host-Only网卡的默认网关以防流量误导。
明确双网卡分工与网络拓扑
要在Windows宿主机上用虚拟机模拟企业级内外网隔离环境，必须先让两张虚拟网卡承担不同角色：一张走NAT或外部网络负责外网访问，另一张走仅主机（Host-Only）或内部网络专用于宿主机与虚拟机间内网通信。这一步不做对，后面所有配置都会失效。
关键不是“加两块网卡”，而是让它们在逻辑上彻底分属两个互不路由的广播域。企业环境中，这种隔离常用于将管理流量（如PVE Web界面、SSH）和业务流量（如虚拟机下载更新）物理分离，避免攻击者通过外网入口横向渗透到内网管理面。
在VMware中创建两类虚拟网络
打开VMware Workstation → 编辑 → 虚拟网络编辑器 → 以管理员身份运行。
先选中VMnet8（NAT模式），确认“使用本地DHCP服务”已勾选，并记录其子网IP段（默认192.168.199.0/24）；这是未来外网网卡的地址池来源。
再点击“添加网络”→新建VMnet2，类型选“仅主机模式（Host-Only）”，取消勾选“连接到主机适配器”，确保它不对外暴露；这是内网专用通道。
【VMnet2的子网必须与宿主机现有局域网段完全不重叠】，比如公司内网是192.168.1.0/24，你就不能设VMnet2为192.168.1.0/24，否则宿主机路由会混乱——推荐设为192.168.100.0/24。
为虚拟机添加并启用双网卡
关机状态下右键虚拟机 → 设置 → 硬件 → 添加 → 网络适配器 → 下一步 → 选择“NAT模式”→完成。
再次添加 → 网络适配器 → 下一步 → 选择“仅主机模式”→自定义特定虚拟网络→下拉选中刚创建的VMnet2→完成。
启动虚拟机后，在Linux中执行ip a，应看到类似ens33（NAT）、ens34（仅主机）两块活跃网卡；若只看到一块，检查是否在VMware设置里误勾了“共享主机网络适配器”或虚拟机未完全关机就添加硬件。
虚拟机内部分配IP并禁用冲突默认网关
方法一：Ubuntu/Debian系（使用netplan）
让 Windows 桌面程序在开机时静默自启并隐藏到系统托盘。特别适用于 Flutter、Electron 等无视 VBS/ProcessStartInfo 窗口样式、难以隐藏的顽固应用。提供「VBS 启动器 + Python ctypes/Win32 API」的隐藏窗口方案，可稳定把窗口收进托盘且不闪控制台。
编辑/etc/netplan/01-network-manager-all.yaml，写入：
network:
version: 2
ethernets:
ens33:
dhcp4: true
ens34:
addresses: [192.168.100.10/24]
dhcp4: false
保存后执行sudo netplan apply。此时ens33通过NAT自动获取192.168.199.x地址并拿到默认网关，ens34固定为192.168.100.10，但【不能给ens34配default route】，否则外网流量会被错误导向内网网关，导致无法上网。
方法二：CentOS/RHEL系（使用nmcli）
先删掉ens34可能残留的默认路由：sudo ip route del default via 192.168.100.1 dev ens34 2>/dev/null
再用nmcli永久配置：sudo nmcli connection modify "System ens34" ipv4.addresses 192.168.100.10/24 → sudo nmcli connection modify "System ens34" ipv4.method manual → sudo nmcli connection up "System ens34"
配置宿主机端内网网卡IP
Win+R → ncpa.cpl → 找到“VMnet2”适配器 → 右键属性 → 双击“Internet协议版本4(TCP/IPv4)” → 手动设置IP地址为192.168.100.1，子网掩码255.255.255.0，网关留空。
这一步完成后，宿主机与虚拟机之间就能直接ping通：在宿主机cmd中ping 192.168.100.10，应收到回复；反过来在虚拟机中ping 192.168.100.1也应通。不通？检查Windows防火墙是否阻止了ICMP回显请求。
此时虚拟机已具备双重能力：通过ens33访问百度、GitHub等外网资源，通过ens34与宿主机192.168.100.1建立SSH、Web管理、文件共享等内网服务连接。
