boh !
Io una esigenza simile l'ho risolta semplicemente sul firewall del router Openwrt, sul server non mi piace mettere regole che poi mi dimentico
Per te sull'host mi sembra che eth0 sia unica per host e guest, e se droppi tutta l'interfaccia, droppi tutto. Perciņ ti ho suggerito il "-s indirizzoIpHost"... se funziona lo saprai solo studiando o provando