(микротик/chr) Настроить DMZ для виртуалок

Есть гипервизор(proxmox) с виртуалками, к части из которых есть доступ извне. Надо поместить из в DMZ-сегмент, который не будет иметь доступ к локальной сети, но будет принимать запросы из нее. Т.е. виртуалка в dmz не может сходить по ssh на машину в локальной сети, но машина из локальной может сходить на машину в dmz.
Фаервол proxmox не работает с одной из виртуалок (xpenology), запрещает все, будучи просто включенным, поэтому он не подходит.

Надо в CHR, которая поднята там же на виртуалке сделать такую конфигурацию:
1)разрешить уже установленные соединения
2)разрешить dns
3)запретить dmz->lan

В идеале это не должно затрагивать настройки основного роутера, чтобы это было автономное решение. Как это конкретно будет реализовано — надо будет спланировать.