HyperV guest虚拟机外部IP：主机VS上的RRAS NAT使用Microsoft虚拟交换机直接访问外部networking？

我有Win2008 R2 HyperV主机，一个物理适配器运行一堆虚拟机。 我有一个外部IP地址的子网：xxx208 / 255.255.255.240

我曾经有以下设置：

主机操作系统将具有AD DC，HyperV，RRAS，DHCP和DNSangular色。 物理适配器将显式地为其分配所有可用的IP地址：

xxx210 / 255.255.255.240

…

• 试图获取networkingconfigurationlocking超时，当前所有者='iphlpsvc.dll'
• Hyper-V突然变成了RAW文件系统
• 使用Symantec Endpoint Protection Manager和Symantec Mail Security进行VM的Hyper-V复制
• 具有多个子网和Active Directory策略的Hyper-V服务器，并将域对象添加到本地组不工作
• 客户端操作系统的HyperV专用物理适配器或主机操作系统和虚拟操作系统的相同虚拟适配器

xxx221 / 255.255.255.240

HyperVnetworking将创build一个外部networking – 但是打开“允许pipe理操作系统共享适配器”选项 – 这样我就可以将公共IP分配给主机操作系统：

HyperV创build了另一个networking适配器，用于内部LAN（192.168.2.0 / 255）。 RRAS被设置为NAT和LAN路由，并且为客人进行NAT转换如下：

xxx210 – > 192.168.2.10，允许传入会话= YES

…

xxx221 – > 192.168.2.21，允许传入会话= YES

所以基本上所有访客虚拟机都没有外部IP地址 – 但对他们来说这并不重要 – 他们仍然可以访问互联网，并可以从外部访问。

那么我们就开始遇到RRAS，VPN等等的问题 – 所以我做了一些阅读，认为NAT模式不好（ could someone comment on this btw? ），我应该虚拟化物理适配器，让访客虚拟机访问外部networking直接。 好的，我做到了。

这是当前的设置：

我从外部适配器中删除了“允许pipe理操作系统共享适配器”，并将第二个内部networking添加到了HyperV。

然后，我必须添加第二个networking适配器到每个访客虚拟机 – 然后明确设置每个公共IP地址。 这样做了，工作正常。 RRASangular色已从主机中删除。

问题：

1. 我做对了吗？ 我内心的感觉是肯定的 – 因为这里我们有更less的“部分”（或者至less看起来像），但我只想得到一些权威性的意见。

2. 任何问题，我应该知道目前的设置与旧的？ 如上所述build立networking后，我应该采取哪些最佳做法？

3. 可能是我最重要的问题。 在这两种情况下，防火墙都运行在访客虚拟机上，切换后没有任何改变。 而我的理解是，NAT不做任何stream量过滤 – 一切都直接到客人。 但是在切换之后，我开始在日志中（在我们的交换VM服务器上）得到以下错误：

入站身份validation失败，错误LogonDenied用于接收连接器默认EXCHANGE。 authentication机制是Ntlm。 尝试对Microsoft Exchange进行身份validation的客户端的源IP地址是[200.195.42.7]。

这种暗示对我来说，在新的设置虚拟机变得更“暴露在外部的威胁 – 但我只是不明白为什么这不是为NAT情况下的情况？ 我validation了 – 在切换之前没有类似的错误。 为什么我现在得到这样的错误？ 从networking的angular度来看有什么变化？