适用场景
学习网络配置时，经常需要让两台虚拟机互相访问，同时避免实验流量进入办公网络。本文以 ESXi 8.x、同一主机上的两台普通实验虚拟机为范围，建立一个没有物理上联的标准交换机。最终成果是一个仅供这两台虚拟机使用的本地主机实验网络。
不要把正在提供业务的虚拟机直接迁入实验网络。本文也不涉及迁移管理网络、存储网络或主机管理适配器。整理日期为 2026-10-20。
原理：没有上联，仍然能够本机交换
标准交换机（Standard vSwitch）可以在同一 ESXi 主机内部转发虚拟机之间的以太网帧。物理上联（Uplink）负责把流量送到主机外部；不配置上联，并不会取消交换机内部的转发能力。
端口组（Port Group）用于给虚拟机提供网络连接入口。两台虚拟机接入同一实验端口组、配置同一网段中不同的地址后，可以在主机内部通信。Broadcom 的交换机配置说明明确指出，通过命令创建的新标准交换机默认没有关联物理网卡。
需要理解隔离边界：如果某台实验虚拟机还有第二张网卡连接外部网络，并启用了路由、桥接或网络共享，它仍可能成为通道。因此，不能只看交换机名称判断是否隔离。
准备工作
准备两台可通过虚拟机控制台操作的实验虚拟机，确认它们位于同一主机。记录原来的端口组、网卡连接状态以及来宾网络设置。为了简化判断，每台实验虚拟机只保留一张已连接网卡。
向网络管理员确认一个用于实验且不会与现有路由冲突的地址段，自行分配两个不同地址。实验接口不配置默认网关，也不需要填写 DNS。不要照搬任何生产设备地址。
准备具备相应权限的 ESXi Shell 会话。若临时开启了远程 Shell 服务，记录其原始状态，结束后恢复。命令中的 vSwitchLabOnly 和 LabOnly 是本文建议使用的对象名称；先检查是否重名，存在同名对象时应换成新的名称，并同步修改后续命令。
分步骤操作
第一步：查看现状
执行只读查询：
esxcli network vswitch standard list
esxcli network vswitch standard portgroup list保存现有输出，找到承担管理业务的交换机和端口组。后续只操作新建对象，不从现有交换机移除任何物理网卡。
第二步：创建独立交换机和端口组
逐条执行，每条成功后再继续：
esxcli network vswitch standard add --vswitch-name=vSwitchLabOnly
esxcli network vswitch standard portgroup add --portgroup-name=LabOnly --vswitch-name=vSwitchLabOnly
esxcli network vswitch standard portgroup set --portgroup-name=LabOnly --vlan-id=0这里的 VLAN ID 设为零，表示本实验不使用 VLAN 标记。隔离来自没有物理上联，而不是这个数值。不要再执行添加物理上联的命令。参数含义可查阅官方 ESXCLI 网络命令参考。
第三步：连接实验虚拟机
在主机客户端（Host Client）中选择第一台实验虚拟机，打开编辑设置（Edit settings），找到网络适配器（Network Adapter），把网络改为 LabOnly，并确认已连接（Connected）。对第二台执行相同操作。
在来宾系统内设置已分配的静态地址和相同前缀长度。确保两台地址不同，清除实验接口上的默认网关。整个过程通过控制台完成，避免依赖将要断开的远程连接。
第四步：检查配置归属
再次执行：
esxcli network vswitch standard list --vswitch-name=vSwitchLabOnly
esxcli network vswitch standard portgroup list确认新交换机的上联列表为空，LabOnly 归属于新交换机，VLAN ID 为零。主机原有管理网络应保持正常。关于 VLAN 设置与管理网络修改风险，可参考 Broadcom 的VLAN 配置说明。
验证方法
在其中一台 Linux 来宾的终端中，执行以下命令后输入另一台的实验地址：
read -r peer_ip
ping -c 3 "$peer_ip"peer_ip 保存刚输入的对端地址。如果没有回应，先检查地址、前缀和来宾防火墙是否允许 ICMP 回显，再判断交换机是否异常。
完整的成功判据是：两台虚拟机可以完成预期通信；新交换机没有物理上联；两台虚拟机没有其他已连接网卡；来宾没有启用桥接或转发；实验接口没有默认路由。外网访问失败只能作为辅助现象，不能单独证明隔离成立。
常见错误
端口组名称相同，不代表跨主机互通。标准交换机是每台主机独立的对象，本实验中的虚拟机必须位于同一主机。
把两个不同网段的地址配到同一端口组，也不会自动产生路由能力。另一个常见误区是为了解决无法上网而添加物理网卡，这会改变实验目标。需要联网更新时，应另行规划受控连接，并重新评估隔离边界。
安全与回退
结束实验后，先关闭实验虚拟机或断开实验网卡。确认没有遗留实验服务、重复地址或转发功能，再按记录恢复原端口组与来宾设置。检查 LabOnly 没有使用者后，依次删除端口组和交换机：
esxcli network vswitch standard portgroup remove --portgroup-name=LabOnly --vswitch-name=vSwitchLabOnly
esxcli network vswitch standard remove --vswitch-name=vSwitchLabOnly如果提示对象仍被使用，返回界面核对依赖，不要强行删除。最后恢复临时启用的 Shell 服务状态，并确认主机管理访问正常。
参考资料与转载说明
本文依据上述公开资料进行中文原创整理，不是逐句翻译，也不替代厂商手册。操作前请核对自己的版本、型号和备份。
评论一下？