Dango

У вас мост vmbr0 используется, через него во внешнюю сеть может идти всё, что угодно.
brctl show покажите.

там же есть пример конфига
bridge_ports none

если бы в бридж входил eth0 я бы мог его еще подозревать, а так физически они изолированны

Ещё не помешает нормально настроить на 10.0.0.7 шлюз, чтобы она не пыталась обращаться к внешним узлам напрямую.

на виртуалке следующие настройки

ip: 10.0.0.7
mask 255.255.255.0
gw: 10.0.0.254
ns: 10.0.0.254

поясните что вы подразумеваете под "нормально" ?

пробовал, не помогает
пакеты продолжают сыпать
заметил что пакеты сыпятся когда их виртуалки генерируют достаточно много, от 1k через nat
возможно переполняется какая то очередь и/или железка не успевает их обрабатывать?

так и работает или нет?