호스트에서 qemu/kvm 게스트를 방화벽으로 보호하는 방법은 무엇입니까?

qemu다음 네트워크 토폴로지를 사용하는 게스트가 있습니다 .

Internet <-> eth1.96[bridge]tap96 <-> eth0[guest]

특정 /24 네트워크에서만 게스트 컴퓨터에 대한 액세스를 허용해야 하는데 게스트에서 방화벽을 구성할 수 없으므로 방화벽에 대해 가능한 위치는 세 개만 표시됩니다.

1. eth1의 INPUT 체인
2. eth1.96의 입력 체인
3. tap96의 출력 체인

이에 대한 모범 사례가 있습니까?