Pare-feu sur un hôte KVM, empêcher l'accès aux VM:s

Iptables peut être configuré pour vérifier le trafic du pont. Je le désactive habituellement pour améliorer les performances, mais vous pouvez faire le contraire : /etc/sysctl.conf :

net.bridge.bridge-nf-call-ip6tables = 0
net.bridge.bridge-nf-call-iptables = 0
net.bridge.bridge-nf-call-arptables = 0

Si vous mettez l'un de ces paramètres à 1 au lieu de 0, l'hôte iptables filtrera le trafic pour le pont.

Une autre solution serait d'arrêter d'utiliser le pont, et d'utiliser l'implémentation NAT de libvirts, qui utilise aussi iptables

EDIT : puisque les deux méthodes sont plutôt défectueuses, je ferais fonctionner les pare-feu dans les invités eux-mêmes, en les laissant sur un réseau ponté normal. ou, ce qui serait encore plus approprié, faire fonctionner une appliance pare-feu séparée devant l'infrastructure virtuelle.