我有一台运行 Debian 9 (Stretch) 的物理/专用服务器。该服务器有足够的资源来支持其自身的负载和一些虚拟机的负载（在本问题中为：Windows Server 2016 标准版）。
为了简化这个问题，我将使用Debian 主机指运行 Debian 9 (Stretch) 的物理/专用服务器，以及Windows 虚拟机指的是在 Windows Server 2016 Standard 版本上运行的虚拟机（目前尚未实现）。Debian 主机。
Debian 主机使用 KVM/QEMU/virsh 提供虚拟化功能及其配置。Debian 主机当前未配置任何虚拟机（或网络）。Debian 主机只有一个映射到网络接口的物理网卡 (NIC) eth0。Debian 主机本身提供各种服务，当 Debian 主机托管其他虚拟机时，Debian 主机也应该提供这些服务。
Debian 主机应该（本问题的范围）托管一个 Windows VM。Debian 主机及其服务应该能够通过私有 IPv4 网络/地址访问 Windows VM。Windows VM 应该能够通过相同的 IPv4 网络（Debian 主机的私有 IPv4 地址）访问 Debian 主机。Windows VM 应该不是可通过公共 IPv4 或 IPv6 网络/地址访问。Windows VM 应该能够访问 Internet（传出连接）。Windows VM 应该不是为其分配一个公共 IPv4 或 IPv6 网络/地址。Debian 主机上的代理应将特定的传入连接代理到 Windows VM 的私有 IPv4 地址。
Debian 主机还应（与此问题相关）能够托管更多虚拟机（其他 Debian 实例）。Debian 主机上的所有虚拟机应彼此隔离。这意味着 Debian 主机可以访问所有虚拟机，所有虚拟机都可以访问 Debian 主机和 Internet，但虚拟机无法（直接）相互访问。
我找到了一些有关 VM 网络的概念。但是，我找不到符合我需求的解决方案。我能找到的最接近（但不匹配）的概念是：桥接网络。这样，Windows VM 就会“连接到 Internet”。这不是我们想要的。其他概念（NAT、仅主机）要么不允许主人 -> 客人或者访客 -> 互联网使用权。
我的问题是：我计划的网络设计是否可以使用一个虚拟网卡？如何在 Debian 主机和 Windows VM 上使用 KVM/QEMU 实现此类网络设计？
由于托管服务提供商方面的网络限制，我无法在虚拟机中使用公共 IP 地址（IP 到 MAC 过滤器）。另外：我不希望虚拟机可直接从互联网访问。
答案1
KVM (dnsmasq) 提供的标准“私有”网络堆栈允许您执行此操作，默认为私有子网 192.168.122.0/24。您的所有 VM 流量都通过 NAT 转出主机，并在外部显示为主机的公共 IP 地址（就像路由器一样）。如果使用 virt-manager，您只需转到主机详细信息并配置更多私有网络，然后将新 VM 的网络接口连接到您为其定义的子网。