É um assunto de um ano, mas alguém ainda pode estar interessado ...
Posso confirmar que o qemu-kvm pode ser encapsulado com sucesso com o tsocks relay, usando o proxy SOCKS do ssh. Para o DNS, o ttdns é executado no sistema operacional host, portanto, a solicitação UDP-DNS de entrada do guest OS / qemu-kvm é convertida em solicitação TCP-DNS e, em seguida, retransmitida por tsocks + ssh.
Linha de comando real usada:
# env -i tsocks qemu-system-x86_64 --enable-kvm \
-drive file=<snip>,cache=none,aio=native,if=virtio \
-net nic,model=virtio -net user -nographic -serial mon:stdio
Só para verificar, eu monitorei as interfaces no host enquanto usava HTTP / DNS no guest (para "yum upgrade") e nenhum pacote passava, exceto na porta 22.