目标状态：我希望在 PVE 上创建一个虚拟内网（如 10.10.11.0/24），让虚拟机能访问外网，但不能访问宿主机所在的物理局域网（192.168.1.x），同时在宿主机上做一个端口转发（例如 192.168.1.94:2222 → 10.10.11.2:22），这样外部设备可以通过端口映射安全连接到内网 VM，而 VM 自身无法反向访问主网。…