Hyper-V 端口 ACL：限制虚拟机的来源和目标流量

扩展端口ACL可按本地/远程地址和方向允许、拒绝或计量流量，用于补充来宾防火墙。

一、先明确目标

在 Hyper-V 管理器（Hyper-V Manager）里修改前，记录虚拟机名称、当前状态、宿主机、配置版本、磁盘与交换机路径。生产环境先确认备份和维护窗口，初学练习尽量使用不承载业务的测试虚拟机。

二、操作步骤

先盘点业务流；添加最小允许规则；保留管理通道；最后加入拒绝；为规则建立变更和回退记录。

PowerShell 盘点或示例命令：

Get-VMNetworkAdapterAcl -VMName "LabVM"

命令中的名称和路径必须换成自己的环境。先运行查询命令，涉及修改时先在测试机执行，不能把示例中的盘符和网络直接照搬。

三、验证方法

从允许与拒绝地址分别测试端口，并检查ACL列表和应用日志。

同时检查“事件查看器（Event Viewer）→ 应用程序和服务日志（Applications and Services Logs）→ Microsoft → Windows → Hyper-V”相关通道。只看到命令成功，不代表来宾系统和业务已经恢复。

四、风险与回退

ACL顺序与方向容易误判；宿主层过滤不替代来宾更新、认证和网络防火墙。

每次只改变一个变量，保存原配置和执行时间。出现异常时先停止扩大变更，按记录恢复原值；磁盘链、检查点和配置文件不得在资源管理器中凭猜测删除。

五、完成标准

管理器状态、PowerShell结果、来宾系统和实际业务四层都通过验证，并把最终配置、测试结果和回退方法写入运维记录，才算完成。

本文为中文原创入门教程，技术基线参考 Microsoft Learn：Hyper-V virtualization。不同 Windows 版本的选项和支持范围可能变化，实施前请核对对应版本官方文档。