如何通过代理服务器为搭载Exchange 2019的Windows Server 2022测试虚拟机执行更新，且避免直接赋予其互联网连接

完全理解你的顾虑——既要给克隆的测试Exchange服务器打更新，又得把测试环境和生产域、外网的风险彻底隔离开，用一台代理VM中转流量的思路完全可行，而且只要配置得当，根本不会对生产环境造成任何影响。下面给你一步步拆解安全可靠的实现方案：

核心思路 #

让代理VM成为测试环境和外网之间的唯一桥梁：代理VM同时连接两个虚拟交换机（一个连外网，一个连你的测试VLAN环境），通过NAT或正向代理为测试Exchange VM转发更新流量，同时用防火墙和网络配置把生产环境的访问彻底阻断。

具体配置步骤 #

1. 准备代理VM（推荐用Windows Core，轻量且易管理） #

• 在Hyper-V中创建一台Windows Core虚拟机，给它添加两块虚拟网卡：
  • 第一块网卡：连接到外部虚拟交换机（就是宿主服务器上能直接访问互联网的那个交换机），配置能正常上网的IP（自动获取或静态，根据你的网络规则来）。
  • 第二块网卡：连接到测试环境的VLAN虚拟交换机（就是你现在Exchange测试VM用的那个），设置和测试VM同子网的静态IP（比如测试子网是192.168.10.x，就设192.168.10.200），注意不要给这块网卡设置默认网关——避免测试环境的流量意外跑到外网。
• 关键：代理VM绝对不要加入生产域，保持工作组状态，彻底切断和生产域的信任关系。

2. 配置代理VM的NAT转发（给测试VM转外网流量） #

在Windows Core的PowerShell里执行以下操作：

• 先确认测试子网的IP段，比如你的测试环境用的是192.168.10.0/24，创建NAT规则：

  New-NetNat -Name "TestExchangeNAT" -InternalIPInterfaceAddressPrefix "192.168.10.0/24"
  

• 这条命令会让代理VM自动把测试子网的流量通过外网网卡转发到互联网，同时把返回的流量转回到测试VM。

3. 配置测试Exchange VM的网络 #

• 把测试VM的默认网关改成代理VM第二块网卡的IP（比如192.168.10.200）。
• DNS服务器可以继续用你测试环境里的DC IP（如果克隆了生产DC到测试环境），或者临时设公共DNS（比如8.8.8.8）——如果测试环境有自己的DC，优先用测试DC的DNS，保持域内解析正常。

4. 加防火墙规则，彻底隔离生产环境 #

为了防止生产环境的流量意外进入测试环境，或者测试VM的流量跑到生产域，在代理VM上设置严格的防火墙规则：

• 入站规则：只允许测试Exchange VM的IP地址访问代理VM的80、443端口（Windows更新和Exchange更新用的核心端口），拒绝所有其他来源的入站流量。
• 出站规则：只允许代理VM转发测试VM的流量到外网，禁止代理VM主动访问生产域的任何IP段。

关键风险规避点 #

• 绝对不要把生产DC或生产域客户端连到测试环境的虚拟交换机：如果你需要模拟生产域环境，应该克隆生产DC到测试环境，作为测试域的独立DC，让测试Exchange VM和测试DC在隔离环境内通信，完全切断和生产DC的连接。
• 测试VM的SID和生产服务器重复？：克隆后记得用sysprep重置测试VM的SID，避免和生产服务器产生冲突——虽然测试环境和生产隔离，但这是个好习惯，防止意外。
• 代理VM的外网访问权限：可以给代理VM设置单独的外网权限（比如只允许访问微软更新服务器的域名），进一步缩小攻击面。

这个方案的核心是把测试环境和生产环境做网络层面的硬隔离，代理VM只做单一的流量中转，只要配置到位，完全不用担心会影响你的生产域和邮件服务。

备注：内容来源于stack exchange，提问作者bill saplam