[exo]

Если снять эту галку и на хосте развернуть Керио, то на виртуальных серверах интернета не буде »

если снять галку - то на хосте вообще ничего не будет на этом интерфейсе. Его как бы не будет.
Но при этом, сеть останется на виртуалках. Наличие или отсутствие галки в вашем случае ничего не изменит.

Остаётся один из вариантов - модем в режим моста; виртуалке с керио назначит адрес (на внешний интерфейс), который придёт от модема. Тогда будет один нат.
На хосте внешний интернет не будет работать, если ему не назначит ещё один реальный адрес от модема.
Если у вас один реальный адрес, то хост можно выводить в интернет через Керио и внутреннюю сеть.

[avolkov2009]

Проблему решил, изменив схему коммутации.
Итак, на хосте задействовано три сетевых интерфейса: HOST (внутренняя сеть хоста), LAN (внутренняя сеть виртуальных машин, изолирована от хоста) и WAN (внешняя сеть хоста, подключена к маршрутизатору). Kerio установлен на хосте, использует интерфейсы WAN и HOST. Адрес хоста на интерфейсе HOST используется в сети, как шлюз по-умолчанию.
Отдельная история с пересылкой DNS. На DNS-сервере убрал пересылку на маршрутизатор и на Kerio, прописал адреса DNS-серверов провайдера.
Модем остался в режиме маршрутизатора по причине того, что на нём кроме всего прочего работает точка доступа WiFi, которую используют для доступа в Интернет.
Спасибо всем за дельные советы!
Тема закрыта.