我有一个运行 Debian 9 (Stretch) 的物理/专用服务器。服务器有足够的资源来支持自己的负载和一些虚拟机的负载（在这个问题中：Windows Server 2016 Standard edition）。
为了简化这个问题，我将使用Debian 主机来指代运行 Debian 9 (Stretch) 的物理/专用服务器，并使用 Windows VM来指代运行在Debian 主机。
Debian 主机使用 KVM/QEMU/virsh 来提供虚拟化能力及其配置。Debian 主机当前没有配置任何虚拟机（或网络）。Debian 主机只有一个映射到网络接口的物理网卡 (NIC) eth0。Debian 主机本身提供了 Debian 主机在托管其他虚拟机时也应该提供的各种服务。
Debian 主机应该（这个问题的范围）托管一个 Windows 虚拟机。Debian 主机及其服务应该能够通过私有 IPv4 网络/地址访问 Windows VM。Windows VM 应该能够通过相同的 IPv4 网络（Debian 主机的私有 IPv4 地址）访问 Debian 主机。不应通过公共 IPv4 或 IPv6 网络/地址访问Windows VM 。Windows VM 应该能够访问 Internet（传出连接）。Windows VM 不应分配公共 IPv4 或 IPv6 网络/地址。Debian 主机上的代理应代理特定传入连接到 Windows VM 的私有 IPv4 地址。
Debian 主机应该进一步（与这个问题相关）能够托管更多的虚拟机（其他 Debian 实例）。Debian 主机上的所有虚拟机都应该相互隔离。意思是 Debian 主机可以到达所有的虚拟机，所有的虚拟机都可以到达 Debian 主机和 Internet，但是虚拟机之间不能（直接）互相访问。
我发现了一些关于 VM 网络的概念。但是，我找不到符合我需求的解决方案。我能找到的最接近（但不匹配）的概念是：桥接网络。有了这个，Windows VM 将连接到“互联网”。这是不希望的。其他概念（NAT，仅主机）要么不允许主机 -> 访客或访客 -> 互联网访问。
我的问题是：我计划的网络设计是否可以使用一个虚拟 NIC？如何在 Debian 主机和 Windows VM 上使用 KVM/QEMU 实现这样的网络设计？
由于托管服务提供商方面的网络限制，我无法在虚拟机内使用公共 IP 地址（IP 到 MAC 过滤器）。另外：我不希望虚拟机可以直接从 Internet 访问。
KVM (dnsmasq) 提供的标准“私有”网络堆栈允许您执行此操作，默认为 192.168.122.0/24 的私有子网。您的所有 VM 流量都被 NAT 出主机，并且在外部看起来就像是您的主机的公共 IP 地址（就像路由器一样）。如果使用 virt-manager，您只需转到主机详细信息并配置更多专用网络，然后将新 VM 的网络接口附加到您为其定义的子网。