Docker networking - firewall unter ubuntu

Hallo Community,

ich verfolge aktuell das Ziel meine Docker Container in eigene Netze zu separieren. Die Nutzung ist dabei auf ein homelab beschränkt. Ich möchte, dass nicht alle Container theoretisch miteinander reden können so wie es jetzt der Fall in einem einzigen custom bridge network der Fall ist.
In ein Netz sollen dabei zusammengehörende Container. Was zusammengehörend ist, ist von mir selber definiert.

Ein Beispiel:

Custom bridge network:

• Nginx Proxy Manager App
• Nginx Proxy Manager DB
• Vaultwarden App

MacVlan network

• Nginx Proxy Manager App

Mit diesem Aufbau kann ich erreichen, dass ich den Nginx wie einen Host in meiner OPNsense behandeln kann und Zugriffe dort steuern kann. Des Weiteren habe ich so die Möglichkeit in das bridge network lediglich über den Proxy zu gelangen. Die Idee ist, jeden container in einem custom bridge network über einen eigenen Proxy erreichbar zu machen der im MacVLan steht. Erlaube ich keinen Zugriff in der OPNsense wird kein Container erreicht. Soweit sinnvoll oder grundlegend falsch?

Was ich aktuell nicht verstehe ist, warum der Zugriff auf den NPM funktioniert obwohl ich auf meinem Docker host keinerlei firewall regeln definiert habe die dies erlauben würden. Ich hätte erwartet, dass ich auf dem host für die bridge des custom networks wenigstens die adresse des NPM also aus dem MacVlan freigeben muss.
Der Container in MacVlan wird also auch nicht über die Ubuntu host Firewall geregelt, dass könnte ich mir ja noch erklären,. aber wie kann ich denn den traffic auf die docker bridge steuern?

Danke euch.