Помимо нормальных решений (NAT и прокси) - если вы такой параноик, а виртуалки только за обновлениями ходят наружу - сделайте зеркало внутри локалки, пусть только оно наружу лезет.
p.s.
Помимо всякой паранои - зеркало с обновлениями "на своей территории" это удобно - уменьшает загрузку внешнего канала (когда все виртуалки разом полезут обновляться) и, в конечном счете, увеличивает скорость скачивания обновлений (которая не только от вашего интернет-канала зависит, но и от "чужого").
