Hyper-V 嵌套虚拟化故障排除指南 - Windows Server

嵌套虚拟化允许在虚拟机中运行 Hyper-V（或其他虚拟机管理程序），从而在虚拟机内启用强大的开发、测试及学习场景，使得在其他 VM 中运行虚拟机成为可能。 这通常在 Windows Server 2016 或更高版本、Windows 10 或 Windows 11 专业版和企业版（Hyper-V）中提供，并且支持 Azure 虚拟机系列。 嵌套虚拟化引入了复杂性 - 网络、内存、CPU 兼容性、主机/来宾配置和性能通常需要仔细考虑。 本指南提供了一种结构化方法，用于排查物理和基于云的环境中的嵌套虚拟化问题。

故障排除清单

在深入了解特定问题之前，请按照以下清单作，确保为嵌套虚拟化正确设置环境：

1. 验证主机兼容性：

   • 主机是 Windows Server 2016 或更高版本、Windows 10 或 Windows 11 专业版或企业版。
   • 主机 CPU 支持 VT-x（Intel）或 AMD-V（AMD）：在 BIOS/UEFI 中启用硬件虚拟化。

2. 确认来宾虚拟机设置：

   • 来宾虚拟机是第 2 代。
   • 运行兼容 OS 的来宾 VM（Windows Server 2016 或更高版本、Windows 10、Windows 11 或更高版本，选择支持 Hyper-V 的 Linux）。

3. 启用嵌套虚拟化：

   • 对于 Hyper-V，请通过 PowerShell 设置：

     Set-VMProcessor -VMName "<VMName>" -ExposeVirtualizationExtensions $true
     

   • VM 必须关闭。

4. CPU、内存和资源分配：

   • 将至少两个虚拟 CPU 分配给嵌套 VM。
   • 分配足够的内存（建议为托管嵌套 VM 的虚拟机分配 ≥ 4GB）。

5. 网络配置：

   • 对来宾 VM 使用“外部”虚拟交换机启用出站访问。
   • 确保根据需要正确设置 NAT/端口转发。

6. 更新主机和来宾：

   • 完全修补和更新主机和虚拟机的 Windows 操作系统。
   • 使用最新的 Hyper-V Integration Services 和驱动程序。

7. 检查安全和策略：

   • Credential Guard 和 Device Guard 可能会阻止嵌套虚拟化。
   • 没有冲突的组策略或阻止 Hyper-V 进程的防病毒软件。

下面是常见问题及其各自的解决方案：

嵌套 VM 无法启动 Hyper-V 角色功能或安装其他虚拟机管理程序

• 在 VM 中启用或安装 Hyper-V 时出错。
• “无法安装Hyper-V：处理器没有所需的虚拟化功能”或类似的错误消息。
• 角色安装失败，没有详细的错误信息。

根源

• 不向客户虚拟机公开的虚拟化扩展。
• 来宾 VM 不是第 2 代，或正在运行不受支持的操作系统或版本。
• 分配的资源不足。

决议

1. 关闭客户机虚拟机。

2. 在主机上运行 PowerShell：

   Set-VMProcessor -VMName "<VMName>" -ExposeVirtualizationExtensions $true
   

3. 确认来宾 VM 是第 2 代（Hyper-V 管理器>VM 属性）。

4. 确保至少分配了两个虚拟 CPU 和 ≥4GB RAM。

5. 重新启动系统，然后重试在虚拟机中启用 Hyper-V 角色。

嵌套 VM 中的网络连接问题

• 嵌套 VM 无法访问外部网络。
• 只有内部连接（主机 <-> 来宾）有效，主机 <-> 连通物理 LAN <-> 嵌套 VM 则不行。
• 无法访问的 IP、失败的 ping 或应用程序连接。

根源

• 配置为“内部”或“专用”的虚拟交换机。
• NAT 配置错误;端口转发未设置。
• Windows 防火墙或安全软件阻止流量。

决议

1. 在 Hyper-V 管理器中，创建或选择“外部”虚拟交换机。

2. 将外部交换机分配给嵌套 VM 的网络适配器。

3. 如果对多个来宾使用 NAT，请设置端口转发：

   netsh int portproxy add v4tov4 listenaddress=<host IP> listenport=<port> connectaddress=<nested VM IP> connectport=<port>
   

4. 检查 Windows 防火墙并禁用或创建规则以允许流量。

5. 如果网络配置发生更改，请重启 VM。

嵌套虚拟化的性能下降

• 嵌套 VM 速度缓慢、滞后或无法安装操作系统和角色。
• 磁盘和网络 I/O 瓶颈。
• 主机上的资源使用率较高。

根源

• 预配不足的资源 - CPU、RAM、磁盘。
• 过度提交的主机资源。
• 过时的主机/虚拟机监控程序驱动程序。
• 虚拟交换机配置导致的带宽限制。

决议

1. 增加来宾 VM 的 vCPUs（最少 2 个；对于繁重的工作负载，建议≥4 个）。
2. 为客户机分配足够的 RAM （建议客户机≥4GB，主机≥8GB）。
3. 使用固定大小的 VHD，而不是动态扩展以提高性能。
4. 确保主机和虚拟机磁盘使用SSD存储。
5. 更新主机和来宾集成服务和驱动程序。
6. 避免在其他主机 VM 中运行资源密集型应用程序。

由于安全策略，嵌套 Hyper-V 的安装或操作被阻止

• Hyper-V 角色安装被阻止。
• 引用“Credential Guard”或“Device Guard”的错误。
• “已启用基于虚拟化的安全性。 不支持嵌套虚拟化。

根源

• VBS、Credential Guard、Device Guard 在主机或来宾中处于活动状态。
• 组策略或注册表设置阻止虚拟化扩展。

决议

1. 在宿主机和虚拟机中禁用 Credential Guard/Device Guard。

   • 使用组策略编辑器（gpedit.msc） >计算机配置>管理模板>系统>设备防护。

2. 如果由注册表控制：

   reg delete HKLM\System\CurrentControlSet\Control\DeviceGuard /v EnableVirtualizationBasedSecurity /f
   reg delete HKLM\System\CurrentControlSet\Control\DeviceGuard /v RequirePlatformSecurityFeatures /f
   

3. 重启 VM。

4. 使用Msinfo32.exe验证 VBS 未启用。

NAT 和端口转发问题

• 无法从外部网络访问嵌套 VM。
• 启动 NAT 驱动程序时，“进程无法访问文件，因为它正被另一个进程使用”。
• WinNAT 服务无法启动。

根源

• 端口的静态映射不正确。
• 冲突的 NAT 配置。
• WinNAT 文件锁。

决议

1. 删除不正确的 NAT 配置：

   netsh nat delete <incorrect mapping>
   

2. 重启主机，并确保 NAT/WinNAT 服务未锁定。

3. 为所需的连接重新配置 NAT/端口代理：

   netsh int portproxy add v4tov4 listenaddress=<host IP> listenport=<port> connectaddress=<nested VM IP> connectport=<port>
   

4. 使用 ping 和应用程序端口测试来自外部主机的连接。

快照/检查点和差异磁盘问题

• 快照消失或无法合并。
• 合并作失败，并显示“系统找不到指定的文件（0x80070002）”或“虚拟硬盘链已损坏（0xC03A000D）。

根源

• 父 VHD 文件被移动或删除。
• 硬件故障。
• 差分磁盘链中断。

决议

1. 确保所有 VHD/AVHDX 文件都位于其原始位置。

2. 使用 PowerShell 检查链条并合并：

   Get-VHD -Path <AVHDX path> | fl \*
   Merge-VHD -Path <child AVHDX> -DestinationPath <parent VHD>
   

3. 如果需要数据恢复，请从备份还原父磁盘，然后重试合并。

无法识别 VM 资源更改（例如 RAM 增加）

• VM 在配置后不会检测到增加的 RAM。
• 没有错误，但资源仍保留在以前的分配中。

根源

• VM 关闭时未应用/提交的配置。
• 平台限制（不支持嵌套、群集或热添加）。

决议

1. 在调整资源大小之前关闭 VM。
2. 使用 Hyper-V 管理器>编辑 VM 设置>增加 RAM。
3. 启动 VM 并在来宾 OS 中验证资源分配。
4. 查看有关嵌套场景中热插拔支持的文档。

数据收集

收集以下数据进行故障排除和升级：

• 系统信息：

  • 主机和来宾操作系统的版本，内部版本号。
  • CPU 类型，RAM 配置。

• 虚拟机配置：

  • Hyper-V 管理器详细信息（生成、CPU、RAM、磁盘）。
  • 虚拟交换机/网络设置。

• 事件日志：

  • Hyper-V 日志：VMMS、辅助角色日志、系统、应用程序。
  • 群集日志（如果在故障转移设置中）。

• PowerShell 输出：

  Get-VM -Name <VMName> | fl \*
  Get-VMProcessor -VMName <VMName>
  Get-VHD -Path <AVHDX path> | fl \*
  

• 网络跟踪：

  netsh trace start capture=yes scenario=Virtualization,NetConnection tracefile=<path>
  netsh trace start capture=yes scenario=NetConnection level=5 maxsize=1024 tracefile=<path>
  

• 屏幕截图/错误消息：

  安装错误、角色添加失败消息、设备管理器状态。

• Procmon 跟踪（用于安装/角色激活问题）。

• MiniDump 文件（如果主机或 VM 崩溃）。

常见问题快速参考表

問题	症状/错误	根源	解决步骤
嵌套 VM 无法启动 Hyper-V	角色安装失败;CPU 扩展错误	扩展未公开;Gen1 VM	关闭 VM; Set-VMProcessor -ExposeVirtualizationExtensions $true;使用 Gen2 VM;分配≥2 个 vCPU。
网络连接问题	嵌套 VM 中没有 Internet/LAN	内部交换机/NAT 配置错误	使用外部交换机；正确配置NAT；允许防火墙规则。
性能缓慢	滞后;资源使用率高	预配不足的资源	增加 vCPU/RAM;使用 SSD;更新驱动程序。
角色或 Hyper-V 安装被安全阻止	策略或 VBS/凭据保护错误	已启用设备/凭据保护	禁用 VBS/Credential Guard;重新启动。
NAT/端口转发失败	无法连接到嵌套 VM;WinNAT 错误	映射/服务锁错误	删除/重新添加 NAT 配置;重启主机; netsh``portproxy 命令。
快照/磁盘链断开	合并失败;找不到文件;链中断错误	移动/删除的父磁盘	还原父 VHD; Get-VHD/Merge-VHD PowerShell cmdlet。
VM 无法识别增加的 RAM	无错误;分配未更改	设置未保存/应用，平台	关闭 VM;编辑设置;启动 VM;检查主机/群集/嵌套支持。

嵌套虚拟化是一项强大但复杂的功能，经常遇到资源、网络、配置和安全挑战。 故障排除从验证正确的设置开始，并继续解决常见的故障模式，包括角色安装问题、网络配置错误、存储链错误以及由于安全策略而阻止安装。 仔细收集数据、分步诊断和了解平台限制对于稳定作至关重要。 对于持久性问题或不支持的方案，可能需要参与平台支持或升级。

References

• 什么是嵌套虚拟化
• Set-VMProcessor