Виртуальный брандмауэр для защиты гипервизора

Я использую Ubuntu Server 12.10 в качестве одного хоста, подключенного к маршрутизатору с NAT, подключенному с помощью PPPoE к оптоволоконному модему. Этот сервер предназначен для доступа из Интернета, но также для использования из локальной сети в качестве SVN, MySQL, а не как...

Проблема в том, что маршрутизатор недостаточно настраиваем, чтобы обслуживать его, поэтому я думал о создании виртуального межсетевого экрана pfSense с использованием KVM внутри самого сервера, что устраняет необходимость в маршрутизаторе. Это возможно? Может ли хост игнорировать и блокировать весь трафик, поступающий к себе, но не для брандмауэра?

Я знаю, что это не самая желанная среда, я принимаю предложения, основанные на бюджете!