Você basicamente tem 2 opções aqui. Você pode ter o contêiner OVZ tem seu próprio endereço IP que é rotativo na internet. Configurar isso exigiria que o host OVZ (aquele que contém os convidados) tivesse sua configuração de rede como uma ponte, com cada contêiner OVZ tendo sua NIC adicionada à ponte. Isso permite que eles participem totalmente da rede LAN como se fossem hosts físicos.
Sua outra opção seria configurá-los para que eles sejam acessíveis somente a partir da rede privada que é local para o host OVZ. Você precisaria usar o encaminhamento de porta NAT do firewall padrão para redirecionar qualquer tráfego no endereço IP externo que o host OVZ possui para o IP da rede privada do contêiner OVZ.
Você pode ler mais sobre essas duas técnicas no wiki do projeto OVZ.