Pour utiliser un firewall sur la machine hôte, il faut que l'hôte et les conteneurs soient configurés de telle sorte que l'hôte route les paquets vers les différents conteneurs.

Pour cela, je recommanderai d'utiliser une configuration de type veth mais sans ajouter les interfaces à un bridge (pour cela, ce pas spécifier la ligne lxc.network.link). Une fois fait, il ne vous reste plus qu'à configurer les interfaces réseau et les routes correctement, puis d'ajouter des règles iptables sur la machine hôte.

Cette explication est très succincte, mais j'espère qu'elle donne une bonne piste :)