Настройка сети виртуальных машин в hetzner

Уважаемые формучане! подскажите, пожалуйста, как выйти из следующего положения: представим себе что у нас есть некий сервер с 1 физической сетевухой. у нее есть белый IP, назову его «дефолтный» он висит на br0. на этом сервере я поднимаю KVM виртуализацию. соответственно мне нужен для приватных ip адресов (192.168.0.0/24) шлюз. для этого я создаю алиас бриджа: br0:1 с ip адресом 192.168.0.1. соответственно - все работает. но недавно пришло письмо, что такой способ натинга запрещен, поскольку мой ip торчит голой жопой в их локальную сеть (ну не подумал я об этом). как же тогда правильно сделать NAT, чтобы ни один пакет с «приватным» ipшником не вылез в сеть хетзнера? насколько я понимаю, либо создать некое виртуальное устройство, которое будет шлюзом для виртуалок с одной стороны и натиться на br0 с другой стороны, либо правильно ностроить правила iptables. Просто покупать белые ip адреса уж очень не хочется Спасибо!