Como fazer o firewall do qemu / kvm guest na máquina host?

Question

Eu tenho um convidado qemu com a seguinte topologia de rede:

Internet <-> eth1.96[bridge]tap96 <-> eth0[guest]

Eu preciso permitir o acesso à máquina convidada somente a partir de uma rede específica / 24 e não posso configurar o firewall como convidado, portanto só vejo três locais possíveis para o firewall:

1. ENPUT chain of eth1
2. ENPUT chain of eth1.96
3. Cadeia de saída de 96

Existe uma prática recomendada para isso?