Hyper-V：从子网中为 VM 分配公共 IP

Question

我们在 Windows Server 2008 R2 上运行 Hyper-V 服务器。我订购了一个子网，因为我们希望为您的每个 VM 提供一个公共 IP 地址。

我的数据中心提供商（来自德国的 Hetzner AG）对此写了以下内容：

虚拟化问题

使用这种类型的 IP/子网分配，不可能使用“桥接”设置，因为这样的设置会出现多个 MAC 地址。VPS（linux 虚拟服务器、Xen、vmware 等）必须使用所谓的“路由”设置（VMware：“仅主机网络”）。对于额外的子网，主机系统或 dom0 必须配置有来自子网的 IP 地址，然后将其用作 VPS 的网关。因此，必须在 VPS 中分别将主机系统的（附加）地址配置为网关。此规则的一个例外是“openvz”，它不需要网关。在主机系统或 dom0 上，必须为每个虚拟化激活“ip_forward”：

那么，这对我来说意味着什么，我必须如何配置 hyper V？

谢谢你的帮助！

Answer 1

他们的意思是，如果您的设置中有多个不同的客户端，每个客户端都有自己的 VM，那么在桥接模式下使用子网可以让我在我的虚拟 NIC 上“看到”其他客户端的 MAC。这有点安全问题，理想情况下，您需要完全隔离每个客户端，这样就不会有一个客户端对您的另一个客户端造成“伤害”的风险，而您最终可能要为此负责.

您托管设施的人员只是在提醒您，如果您做自己想做的事，您可能会面临陷入困境的风险。

我不确定是否可以在 Hyper-V（或 VMWare）上使用公共 IP 进行仅主机网络。我认为您应该做的是将所有这些 IP 分配给主机，然后为每个 IP 为 NAT 等创建适当的规则，以指向每个客户端 VM 的专用网络。

现在，如果这是我们正在讨论的一个组织的服务器，并且您不需要在安全方面隔离每个服务，那么您可能不关心这一点。就我个人而言，我仍然会将它们隔离开来，这样如果有人受到攻击，攻击者就无法仅通过查看 ARP 来发现新机器。