Как в локальной сети ipv6 раздать интернет, но оставить все тачки скрытыми за одним внешним ipv6?
Помимо нормальных решений (NAT и прокси) - если вы такой параноик, а виртуалки только за обновлениями ходят наружу - сделайте зеркало внутри локалки, пусть только оно наружу лезет.
p.s.
Помимо всякой паранои - зеркало с обновлениями "на своей территории" это удобно - уменьшает загрузку внешнего канала (когда все виртуалки разом полезут обновляться) и, в конечном счете, увеличивает скорость скачивания обновлений (которая не только от вашего интернет-канала зависит, но и от "чужого").
Выпускайте тачки в интернет через прокси или NAT, если им нужно только качать обновления.
Если к ним понадобится доступ извне, просто правильно настройте фаерволл, ограничивая подключение извне.