KVM: изоляция между разными сетями NAT

В опубликованном вами туториале упоминается:

If you do not set the “dev” attribute to either the physical network device or bridge, then you will get unexpected behavior because it may take shortcuts and forward traffic directly from one KVM network to another using internal interfaces.

Похоже, именно это может вызвать вашу проблему.

изменить:

  <forward mode='nat'>

-:

  <forward mode='nat' dev='<network interface example: eth0>' >

Я проверил это, чтобы правила iptables работали.