Меня это не спасёт, если вдруг придется выпустить в инет ВМ, то придется городить фаирвол уже и на самом проксмоксе, иначе, ВМ получит доступ к локалке
В гипер-в я б сделал приватную сеть, каждому гостю свой влан.
Ещё один гость с приватным интерфейсом и транком в нем, плюс внешний адаптер.
И всё рулить в этом госте.
Но у линукса свой подход к сети, конечно. 100 тыщ бриджей в хосте...