ホストでqemu / kvmゲストをファイアウォールで保護する方法は？

qemu次のネットワークトポロジを使用するゲストがあります。

Internet <-> eth1.96[bridge]tap96 <-> eth0[guest]

特定の/24ネットワークでのみゲストコンピュータへのアクセスを許可する必要がありますが、ゲストはファイアウォールを設定できないため、ファイアウォールの可能な場所は3つしか表示されません。

1. eth1のINPUTチェーン
2. eth1.96の入力チェーン
3. tap96の出力チェーン

これに関するベストプラクティスはありますか？