Saludos.

Me presento aquí con una duda más académica que práctica, al menos para mí. No obstante, me interesa mucho indagar sobre este tema.

Imaginemos que tengo iptables configurado en Modo Paranoia con todo el tráfico bloqueado.

Imaginemos también que deseo montar una máquina virtual en mi ordenador (Qemu o VirtualBox-OSE) para albergar una aplicación que se conecte a internet como, por ejemplo, un programa de P2P. La idea es que, si algún cracker decide estropearme el día y atacar esta aplicación mediante un exploit o similar, el hecho de que la máquina virtual quede comprometida no ponga en peligro el resto de mi sistema. Huelga decir que, con tal objetivo en mente, no habilitaría ningún tipo de carpeta compartida entre el huesped y el anfitrión.

Las máquinas virtuales a las que les tengo echado el ojo se conectan por defecto mediante NAT, sea lo que sea eso. ¿Debo entender que, si quiero correr en la máquina virtual un programa que normalmente emplearía un puerto XXXX, bastaría con abrir con iptables el mismo puerto en el sistema anfitrión? (Empleando el susodicho NAT, claro)

En caso afirmativo, ¿acaso tendría algún sentido ponerle un cortafuegos propio al huesped? Imagino que no, pero como no soy muy ducho en esto, prefiero consultar segundas opiniones.

¿El montaje que estoy proponiendo es útil, o es tan sólo una estupidez fruto de mi ignorancia?

Agradeceré cualquier referencia que se me proporcione al respecto. Imagino que esta dudilla es elemental para cualquiera que lleve un tiempo metido en el mundillo de la informática, pero no he sido capaz de encontrar una respuesta definitiva yo mismo ni de experimentar yo personalmente (no estoy en disposición de conectarme a Internet para verificar nada en este momento).