Windows Server 2012 中新的 Hyper-V 可擴展虛擬交換機為多租戶提供了隔離和安全的能力，可提供以下新特性：

• 通過私有虛擬網絡(PVLAN)隔離多租戶虛擬機。
• 地址解析協議/鄰居發現（ARP/ND）中毒(也稱為欺騙)保護。
• 動態主機配置協議（DHCP）監聽和保護
• 虛擬端口訪問控制列表 (ACL) 。
• 傳統的 VLAN Trunk 到虛擬機的能力。
• 監視。
• Windows PowerShell/Windows Management InstrumentATIon (WMI).

私有 VLAN（PVLAN）隔離虛擬機

VLAN 技術傳統的用于在一個物理網絡中，劃分子網并且隔離不同子網。WindowsServer 2012 中引入了 PVLAN 技術，與 VLAN 技術一起，可用于隔離同一個 VLAN網絡中的兩個虛擬機。

如果一個虛擬機不需要與其他的虛擬機通信，那么您可以使用 PVLAN 技術將它與數據中心的其它虛擬機隔離。要配置這種場景，您可以為每一個虛擬機加入一個 PVLAN，為它分配一個 VLAN ID，以及一個或多個 VLAN ID。您可以將第二個 PVLAN 配置為以下表格中列出的三種模式。這些 PVLAN 模式決定了一個虛擬機是否能夠與其它虛擬機在 PVLAN 中交換數據。為了隔離一個虛擬機，您可以把它配置成隔離模式。

PVLAN 模式     描述

隔離               隔離的端口在第二層不能與其它端口實現數據包交換。

混雜               混雜端口可以與任何其他在同一主 VLAN ID 端口實現數據包交換。

通信               相同 VLAN ID 的通信端口能夠在第二層實現包交換。

下圖顯示了 PVLAN 模式如何在共享主 VLAN ID 時隔離虛擬機

ARP 和 ND 中毒/欺騙保護

Hyper-V 的可擴展交換機提供保護，防止惡意虛擬機通過 ARP 欺騙（也稱為 IPv4 中的 ARP 中毒）竊取其他虛擬機的 IP 地址。這種類型的中間人攻擊，惡意虛擬機發送假冒的 ARP 報文，將自己的 MAC 地址關聯到一個并不擁有的 IP 地址。不知情的虛擬機發送網絡流量到這個 IP 的惡意的虛擬機 MAC 地址，而不是針對該 IP 地址的網絡流量預期的目標。對于 IPv6 ，Windows Server 2012 為鄰居發現欺騙（ND）提供了同等的保護。

DHCP 保護

在 DHCP 環境中，惡意的 DHCP 服務器會干擾 DHCP 客戶端的請求，并提供錯誤的地址信息。惡意 DHCP 服務器會導致網絡流量在發送到合法的目的地之前被路由到惡意的中介嗅探器。為保護和避免這種中間人攻擊，Hyper-V 管理員可以指定哪一個Hyper-V 擴展虛擬交換機的端口可以連接到 DHCP 服務器。DHCP 服務器發出到其它的 Hyper-V 擴展交換機端口的通訊將被自動丟棄。Hyper-V 擴展虛擬交換機現在就能夠保護和避免惡意的 DHCP 服務器嘗試提供 IP 地址，導致流量被重新路由。

用于網絡隔離和計量的虛擬端口訪問控制列表(ACLs)

在 Hyper-V 可擴展虛擬交換機中，端口的 ACL 為一個虛擬端口提供了網絡隔離和流量計量上的機制。通過使用端口的 ACL，可以依據 IP 地址或 MAC 地址，決定虛擬機可以（或不能）進行通信。例如，您可以使用端口的 ACL 執行隔離虛擬機允許它僅與Internet 進行通信，或只用一套預定義的地址。通過使用的計量能力，可以測量一個特定的 IP 地址或 MAC 地址發送或接收的流量，它可以讓你的報告發送或接收從互聯網或網絡存儲陣列的網絡流量。

您可以為一個虛擬端口配置多個端口 ACL。每個端口的 ACL 包含源或目的地的網絡地址和許可，拒絕或計量操作。計量功能，還提供流量試圖從禁區（“拒絕”）地址或從一個虛擬機實例的數量信息。以下端口的 ACL 選項可供選擇：

• 允許一個源或目的的 IPv4、IPv6 或是 MAC 地址。
• 拒絕一個源或目的的 IPv4、IPv6 或是 MAC 地址。
• 計量一個源或目的的 IPv4、IPv6 或是 MAC 地址。

虛擬機的 Trunk 模式

VLAN 使一組主機或虛擬機看起來是在同一個本地局域網，使其可獨立于自己的實際物理位置。在 Hyper-V 可擴展虛擬交換機的 trunk 模式中，來自多個 VLAN 的流量可以直接匯聚到虛擬機中的單一網絡適配器，而以前只有一個 VLAN 接收流量。因此，來自不同 VLAN 的流量可以整合，一個虛擬機可以偵聽多個 VLAN 流量。此功能可以幫助你規整網絡流量和執行多租戶數據中心的安全。

監視

許多物理交換機可以監視流經交換機上的特定虛擬機的特定端口的流量。Hyper-V 可擴展交換機也提供了這個端口的監測。管理員可以指定應監視虛擬端口和虛擬端口監控的流量應提供額外的處理。例如，安全監控虛擬機可以尋找異常模式，在通過特定交換機上的其他虛擬機的流量。此外，管理員可以通過監測特定虛擬交換機端口的流量診斷網絡連接問題。

基于 Windows PowerShell / WMI 的自動化管理

您可以使用 Hyper-V 可擴展交換機的 Windows PowerShell 3.0 命令創建命令行工具，或是用于實現安裝、配置、監視和排錯的自動化腳本。這些命令行工具可以遠程運行。Windows PowerShell 還允許第三方建立自己的工具來管理 Hyper-V 可擴展交換機。