VirtualBox 装 Win11 虚拟机：TPM 2.0、增强功能与避坑

1. 先搞明白：为什么要在 VirtualBox 里装 Win11

我平时干活的主力机是 Linux，但手头总有一些绕不开的 Windows 场景：帮朋友验证一个只在 Win11 上出问题的软件、跑某个银行客户端、测试一份文档在 Edge 下的排版、或者干脆想看看某个新版本系统的界面长什么样。为了这点事专门买台机器、或者把主机重装一遍 Windows，成本太高了。折中方案就是拿VirtualBox 装一个 win11 虚拟机，用完就删，快照一存，主机环境干干净净。

这也是我写这篇东西的出发点。它适合三类人：一类是 Linux 桌面用户，想临时开个 Windows 环境干点活；一类是 Windows 用户，想在不破坏主力系统的前提下试装 Win11，验证驱动、软件兼容性，甚至先走一遍系统迁移流程；还有一类是学生和测试岗，需要一个能随时重置、随手复刻的 Windows 实验台。不管你是哪一类，路径基本一致，坑也基本一致。

我会按照真正动手的顺序来讲：先盘点硬件和版本门槛，再准备镜像、创建虚拟机、过掉 Win11 的硬件检查，然后是装增强功能、关闭自动更新、改回 Win10 右键菜单这些装完之后的收尾活，最后把我在实战里踩过的几个典型坑整理成速查表。全程用 VirtualBox 官方免费版，不涉及任何花哨的第三方封装工具，能照抄就照抄。

2. 动手前的环境盘点与方案取舍

2.1 为什么是 VirtualBox，而不是别的方案

先把选型这件事说清楚，因为很多人在这一步就纠结半天。虚拟机软件常见的就那么几个：VirtualBox、VMware Workstation、Hyper-V，再加上 Windows 自带的一些隔离机制。我选 VirtualBox 的理由很朴素——全平台免费、安装包小、快照和共享文件夹够用，而且在 Linux 上体验相当顺。VMware 的图形性能和多显示器支持确实更好，尤其是跑重图形负载的时候优势明显，但它体积大、商业授权限制多，对偶尔用一次的人来说属于杀鸡用牛刀。

Hyper-V 则要单独说说。Windows 宿主机上，如果你已经开了 Hyper-V、WSL2、Windows 沙盒或者内存完整性保护，VirtualBox 就拿不到 Intel VT-x / AMD-V 的独占使用权，只能退到 Hyper-V 后端跑，性能掉一截，还会出现各种莫名其妙的启动失败。这个冲突在装了企业级网络模拟器（比如 eNSP 那类依赖老版本 VirtualBox 的工具）的机器上尤其常见，因为它们往往锁定的是 5.2.x 甚至更老的版本，而 Win11 需要的 TPM 2.0 模拟和完整 EFI 支持，是 VirtualBox 7.x 才补齐的。所以如果你机器上同时装着这类工具，要么升级它，要么干脆换台机器做实验，别硬凑。

提醒一句：VirtualBox 5.2.44 这类老版本在 Win11 上基本走不通，主板设置里根本没有 TPM 选项，EFI 支持也残缺。别为了兼容某个老工具去降级主版本，正确的做法是把新老环境分开。

2.2 宿主机硬件和软件版本的硬性门槛

Win11 对宿主机没有直接要求，但虚拟机是要吃宿主资源的，所以宿主机的底子决定了你能给它分多少。门面上的账是这样算的：

这里的分配逻辑得解释一下。内存不能给太多，因为宿主机本身要留够，一般建议不超过宿主物理内存的一半。比如 16 GB 的机器，给虚拟机 6 GB 是比较舒服的甜点区；给 8 GB 也能跑，但宿主机再开浏览器就吃紧了。CPU 核心数同理，不要超过宿主机物理核心数，超线程的线程数可以当上限参考，但给多了反而会因为调度竞争变慢。

磁盘我强烈建议用动态分配的 VDI 格式。它的原理是先建一个小文件，往里写多少就长多少，不会一上来就吃掉 80 GB。代价是随着使用会逐渐产生碎片，长期用得顺手的做法是：先建成动态盘，等装完系统、装完常用软件，在虚拟机里做一次磁盘整理，然后关机用VBoxManage的modifyhd转成固定大小；或者干脆一开始就用固定盘，前提是你宿主机 SSD 空间充裕。

2.3 Win11 的 TPM 2.0 和 Secure Boot 这道坎怎么过

Win11 相比 Win10 最大的变化，就是把 TPM 2.0 和安全启动写进了强制要求。很多人第一次装的时候，安装程序直接甩一句"这台电脑不满足运行 Windows 11 的系统要求"，然后就卡住了，网上热词里"win11 虚拟机安装出现 boot"之类的搜索基本都是卡在这一步。

好消息是 VirtualBox 7.0 以后原生支持模拟 TPM 2.0，所以正规路子完全走得通。创建虚拟机时在"系统"设置里勾选"启用 EFI"，然后在同页的"TPM"标签里勾上"启用 TPM"，版本选2.0。芯片组建议选ICH9，老版本的 PIIX3 在一些镜像上会出兼容问题。

如果你用的是 VirtualBox 6.1 或更早，没有 TPM 选项，那就只能走绕过检查的老办法：在安装界面出现"现在安装"的时候，按Shift + F10调出命令提示符，输入regedit打开注册表编辑器，定位到HKEY_LOCAL_MACHINE\SYSTEM\Setup，新建一个名为LabConfig的项，在里面建几个 32 位 DWORD 值，全部设为 1：

• BypassTPMCheck
• BypassSecureBootCheck
• BypassRAMCheck
• BypassCPUCheck
• BypassStorageCheck

关掉注册表继续装就能过。这个方法的原理是安装程序在检测阶段会读这几个开关，读到 1 就跳过对应检查。它不会修改系统本身，只是让安装程序放行，装完之后系统功能是完整的，后续也能正常更新。不过我还是建议优先升级到 VirtualBox 7.x 用原生 TPM，毕竟绕过的路子在新版本镜像上不一定一直有效。

3. VirtualBox 与 Win11 镜像的准备细节

3.1 VirtualBox 的版本选择和安装注意点

版本这块，直接去官网下最新的 7.x 稳定版就行，别去第三方软件站找所谓"绿色版"或者"汉化包"。VirtualBox 本体自带多语言界面，装完之后在文件 → 首选项 → 语言里就能切成中文，根本不需要额外打汉化补丁，那些来路不明的补丁包反而容易带私货。至于有些教程里提到的"汉化包下载"，我劝你直接跳过。

安装过程本身没什么可讲的，一路下一步就行，但有两个地方值得留意。第一，安装程序会短暂断开你的网络适配器来装虚拟网卡驱动，如果你正在下载大文件，先等下载完再装。第二，Windows 宿主上会问你要不要装 USB 支持，这个建议勾上，后面接 U 盘、读卡器、打印机之类的会方便很多。

Linux 宿主上有一个经典报错需要提前说：

Kernel driver not installed (rc=-1908) The VirtualBox Linux kernel driver is either not loaded or not set up correctly.

这个错误的本质是 VirtualBox 依赖一个叫vboxdrv的内核模块，而内核升级之后模块没有跟着重新编译。解决办法是确保装了dkms和对应版本的内核头文件，然后重新编译：

sudo apt install --reinstall linux-headers-$(uname -r) virtualbox-dkms sudo /sbin/vboxconfig

如果你的发行版用的是 UEFI 安全启动，加载未签名的内核模块会被拦下来。Debian/Ubuntu 系的做法是在安装virtualbox-dkms时按提示设置一个 MOK 密码，重启后在蓝色界面里选"Enroll MOK"录入密钥；Arch 系则更省事，启用vboxdrv服务前先确认dkms模块已经签好名。这一步做完，lsmod | grep vboxdrv能看到模块，就说明底层通了。

3.2 Win11 镜像的获取与校验

镜像只从官方渠道拿，这是底线。别去那些聚合站下"精简版""优化版""装机版"，这类镜像被改过引导、塞过预装软件，跑在虚拟机里出问题是小事，泄露宿主机信息是大事。官方提供的 ISO 里，专业版和家庭版是合在一个镜像里的，安装时按需要选。

下载完之后一定要校验哈希值。Windows 上可以右键文件看属性，或者用 PowerShell：

Get-FileHash .\Win11.iso -Algorithm SHA256

Linux 上一条命令就够了：

sha256sum Win11.iso

拿到的值和官方发布页上的对照一下，对不上就重新下，别抱侥幸心理。ISO 损坏会导致安装到一半报错，或者引导阶段反复重启，这种问题最难排查，因为现象看起来像是虚拟机配置问题。

另外提醒一下版本节奏。热词里出现的"26H2""27H2"这类叫法是 Windows 的半年更新代号，意思是每年上下半年各一个大版本。你不需要追最新，选一个当前的稳定版即可，因为虚拟机本身随时可以打补丁或者重装，没必要为了体验版本号去折腾。

3.3 创建虚拟机时的参数怎么填

点"新建"，名字随便起，类型选 Microsoft Windows，版本选 Windows 11（64-bit）。下面几个关键页面的填法我列一下，都是实测下来比较稳的：

内存和 CPU：内存给 6144 MB，CPU 给 2 核。如果宿主机很富余，内存上到 8192、CPU 上到 4 核，体验会有明显提升，尤其是开浏览器和 Office 的时候。但 CPU 核数别超过宿主机物理核心数，否则只会互相抢。

硬盘：大小 80 GB，类型 VDI，存储方式选动态分配。如果你 SSD 空间多得是，固定大小读写会略快一点，但差异在日常使用中基本感知不到。

创建完之后，进"设置"里再调这几项：

• 系统 → 主板：勾选"启用 EFI"，芯片组选 ICH9，启动顺序把硬盘放第一、光驱第二。
• 系统 → 处理器：把"启用嵌套分页"勾上，这是让 CPU 虚拟化加速的关键。
• 系统 → TPM：勾选"启用 TPM"，版本选 2.0。
• 显示：显存拉到 128 MB 或 256 MB，勾选"启用 3D 加速"。
• 存储：把下载好的 ISO 挂到光驱上。
• 网络：默认 NAT 就够用，需要主机直接访问虚拟机的话再考虑桥接。

显存这里有个细节值得说。VirtualBox 默认只给 16 MB，这个值跑 Win11 会明显卡顿、分辨率也上不去。要拉到 128 MB 以上，需要在"显示"里勾选"启用 3D 加速"，否则滑杆会被锁死在 128 MB。如果勾了 3D 加速之后虚拟机反而启动黑屏，那就是宿主显卡驱动和 VirtualBox 的兼容问题，把 3D 加速取消，显存退回 128 MB，靠增强功能里的显示驱动来补，也能用。

4. 安装过程全流程实录

4.1 启动虚拟机与硬件检查的实操

配置确认无误后点"启动"。第一次启动会从 ISO 引导，看到 Windows 徽标转圈就说明引导正常。如果这里出现黑屏、卡在 "Press any key to boot from CD or DVD" 之后没反应，或者直接跳进 EFI Shell，八成是启动顺序或者 EFI 设置的问题，先把光驱调到硬盘前面再试。

正常的话很快会进入安装向导。语言、时间、键盘保持默认，点"现在安装"。如果你用的是 VirtualBox 7.x 且正确启用了 TPM 2.0，这一步会直接放行，不会出现硬件不满足的提示。如果出现了，就按前面说的Shift + F10加注册表那套办法处理。

接下来选版本。镜像里通常有好几个，我一般选"Windows 11 专业版"，因为它带组策略编辑器，后面关闭自动更新、调整各种策略会方便很多。家庭版砍掉了gpedit.msc，得靠改注册表，虽然也能做，但麻烦。热词里"win11 家庭版升级专业版"的诉求，很多时候就是为了这个组策略。

然后是许可协议、安装类型选"自定义"，分区那一步直接选未分配的空间点下一步，安装程序会自动创建 EFI 分区、MSR 分区和系统分区。这一步不建议手动分区，除非你有特殊需求，让安装程序自己处理最稳妥。

4.2 首次启动与初始化配置

复制文件、安装功能、重启，这几步大概十到二十分钟，取决于宿主机 SSD 速度。第一次重启会进 OOBE（开箱体验）流程，让你选区域、键盘布局、连网络、登账号。

这里有个省事的技巧：Win11 专业版在连网页面可以用Shift + F10打开命令行，输入oobe\bypassnro回车，系统会重启并给你一个"我没有 Internet 连接"的选项，从而用本地账户完成初始化。这样能避开强制登录微软账户带来的隐私和同步麻烦，测试环境尤其需要本地账户。

初始化完成后进桌面，第一件事是确认分辨率。如果画面糊、边缘被裁掉或者根本进不了原生分辨率，说明增强功能还没装。这时候装增强功能的路径是：菜单栏设备 → 安装增强功能，虚拟机会把增强功能的光盘挂进来，进"此电脑"打开光驱，运行VBoxWindowsAdditions.exe，一路下一步装完重启。之后分辨率能自适应窗口大小、剪贴板能双向复制、鼠标也能无缝穿越，体验一下子就不一样了。

4.3 增强功能与共享文件夹的实际价值

很多人装完系统就收工，其实增强功能才是让虚拟机"好用"的关键。它带来的东西包括：

• 显卡驱动，支持分辨率自适应和 3D 加速
• 鼠标集成，不用按 Host 键就能把鼠标移进移出
• 双向剪贴板，宿主机复制、虚拟机粘贴
• 双向拖放文件
• 共享文件夹和共享打印机

共享文件夹的配置位置在设备 → 共享文件夹，选"固定分配"，勾上"自动挂载"和"永久化"，路径指到宿主机的一个目录。装完增强功能重启后，在虚拟机的"网络"或者\\VBoxSrv路径下就能看到这个共享目录。如果看不到，通常是两个原因：增强功能没装全，或者虚拟机里的"VirtualBox Guest Additions"服务没启动，后者在服务管理器里手动启一下就好。

共享打印机也类似，VirtualBox 会把宿主机上配置好的打印机透传进来，装完驱动就能直接打印，不需要在虚拟机里重新添加。这个功能在需要出文档的测试场景里挺实用。

5. 装完之后的调优：让 Win11 虚拟机真正好用

5.1 关掉自动更新，把主动权拿回来

虚拟机里最烦的事情之一就是半夜自动更新，第二天开机等半小时。热词里"win11 关闭自动更新"排得很靠前，说明这是普遍痛点。处理方式取决于版本：

专业版用组策略最干净。按Win + R输入gpedit.msc，进计算机配置 → 管理模板 → Windows 组件 → Windows 更新 → 管理最终用户体验，把"配置自动更新"设成"已禁用"。这个策略不是把更新服务彻底打死，而是让系统不再自动下载安装，你想更新的时候手动点一下还是可以的。

家庭版没有组策略，用注册表：

reg add "HKLM\SOFTWARE\Policies\Microsoft\Windows\WindowsUpdate\AU" /v NoAutoUpdate /t REG_DWORD /d 1 /f

如果连注册表策略都被后续版本堵了，还有一个更无脑的办法：把Windows Update服务（wuauserv）的启动类型改成"禁用"，同时把"更新 Orchestrator 服务"也设成禁用。缺点是打补丁的时候要手动改回来，适合那种装完就不再更新的测试机。

一个更温和的中间方案：在设置里把更新暂停到系统允许的最长期限，再用"计量连接"标记当前网络。Win11 在计量连接下不会自动下载大更新，这个办法对家庭版同样有效，而且随时能恢复。

5.2 把右键菜单改回 Win10 的顺手样子

Win11 那个折叠的右键菜单，用惯了 Win10 的人第一次上手都想砸键盘。改回去的方法是一个注册表项加一次资源管理器重启：

reg add "HKCU\Software\Classes\CLSID\{86ca1aa0-34aa-4e8b-a509-50c905bae2a2}\InprocServer32" /f /ve taskkill /f /im explorer.exe start explorer.exe

原理是给这个 CLSID 挂一个空的 InprocServer32 默认值，让系统认为对应的扩展不存在，从而回退到老式菜单。想恢复的时候把这一项删掉、再重启资源管理器就行：

reg delete "HKCU\Software\Classes\CLSID\{86ca1aa0-34aa-4e8b-a509-50c905bae2a2}" /f

这两个命令建议在虚拟机里存成.bat，重装系统后直接双击，省得每次翻笔记。

5.3 网络、主机访问与磁盘瘦身

网络这块，NAT 模式是默认也是最好用的，虚拟机可以正常上网，但主机想访问虚拟机里的服务就不行了。NAT 下的网络结构是：宿主在虚拟网络里相当于网关，地址是10.0.2.2，虚拟机自己是10.0.2.15，宿主的 DHCP 是10.0.2.3。所以从虚拟机访问宿主用10.0.2.2即可，反过来的方向要走端口转发，在网络 → 高级 → 端口转发里配一条规则，把宿主的某个端口映射到虚拟机的服务端口。

如果你要的是主机能直接用虚拟机的 IP 访问，就换成"桥接网卡"模式，虚拟机会从路由器拿一个和宿主同网段的地址，两边对等。缺点是会占用一个局域网 IP，在 IP 紧张的环境里不太方便。还有一种"仅主机网络"模式，虚拟机只能和宿主通信、上不了外网，适合做隔离测试。

磁盘瘦身是虚拟机用久了必然要面对的问题。Win11 的系统盘会随着更新不断膨胀，WinSxS目录尤其夸张。在虚拟机里跑一次组件清理能回收不少：

Dism.exe /Online /Cleanup-Image /StartComponentCleanup /ResetBase

配合设置里的"存储感知"定期清临时文件，效果更明显。注意/ResetBase之后已安装的更新就无法卸载了，虚拟机无所谓，物理机上要谨慎。宿主机这边，如果虚拟磁盘是动态分配的，可以先把虚拟机里的空闲空间清零，再用VBoxManage压缩镜像文件：

VBoxManage modifymedium disk Win11.vdi --compact

这招对长期使用的虚拟机特别管用，我有一台用了一年多的测试机，压缩之后从 60 多 GB 掉回 30 GB 出头。

6. 常见问题与排查技巧实录

6.1 启动类问题速查

装虚拟机的过程中，出问题最多的就是启动阶段。我把遇到过的几类整理成表，方便对照：

基于常见实践的补充说明：新版本镜像对 NVMe 控制器的支持已经很好，如果 SATA 下装不上，换成 NVMe 往往能解决；反过来，某些老镜像只认 SATA，那就别用 NVMe。这个没有通用答案，两个都试一遍最快。

6.2 内核模块与虚拟化冲突排查

Linux 宿主上开虚拟机之前，先跑一遍自检：

sudo /sbin/vboxconfig

如果输出里有报错，按前面的步骤重装virtualbox-dkms。日常排查还可以看内核日志：

dmesg | grep -i vbox

能直接看到模块加载失败的原因，是签名问题还是版本不匹配，一目了然。

Windows 宿主上的冲突更隐蔽。如果你装了 WSL2、Docker Desktop、Hyper-V 或者内存完整性保护，VirtualBox 会提示"VT-x/AMD-V 硬件加速不可用"。这时候要么关掉这些功能，要么接受降速运行。我的做法是给主力机留两条路：日常用 WSL2，需要跑虚拟机的时候临时关掉"虚拟机平台"和"Windows 虚拟机监控程序平台"这两个 Windows 功能，重启后再开 VirtualBox。虽然麻烦，但比一直慢着跑强。

6.3 几个我踩过的小坑

第一条，别把虚拟机文件放在会同步的目录里。我早期图省事，把 VDI 放在了同步网盘目录下，结果网盘后台一直上传几个 GB 的镜像文件，机器风扇狂转不说，还因为文件被占用导致虚拟机启动报锁文件错误。虚拟磁盘、快照、配置文件都放在本地固定盘上，这条是硬规矩。

第二条，快照很好用，但别贪多。快照的原理是记录磁盘的差异块，快照越多，读写时的回溯链越长，性能下降越明显。我的习惯是只在关键节点（比如系统刚装完、装完驱动、装完开发环境）各留一个，其他时候要么删掉，要么用"克隆"做一份独立副本。克隆出来的虚拟机是完全独立的文件，互不影响，适合做并行测试。

第三条，主机名和用户名在初始化时就定好。OOBE 阶段定的名字后面改起来很麻烦，尤其是加入域或者跑某些需要固定计算机名的软件时。测试机的命名我一般用"机型+用途+日期"的格式，比如VM-WIN11-TEST-0721，时间长了也不会乱。

第四条，定期导出 OVA 备份。虚拟机目录一旦损坏（宿主机意外断电最容易出这事），快照也救不回来。重要环境我会用导出虚拟电脑功能存一份 OVA 到移动硬盘，虽然文件大，但恢复起来快，比重新装一遍省太多时间。

我个人的经验是，虚拟机这东西的价值不在于"能装"，而在于"装完还好用"。很多人卡在装完那一步就不管了，结果用两天嫌卡、嫌别扭就弃了。真正让体验拉开差距的，其实就是增强功能、显存设置、关闭自动更新、改右键菜单这几件小事，加起来花不了半小时，但后面每次打开虚拟机都省心。你要是刚上手，按这篇文章的顺序走一遍，基本能一次跑通，剩下那些边角问题，等真遇到了再回来翻速查表也不迟。