Segui todos os passos: NAT, IP virtual, adicionei a regra ao Firewall para TCP na porta 9000.
Conferi com ss -nlt e a porta 9000 não estava acessível, então utilizei o comando reboot várias vezes e mesmo assim a porta 9000 não fica acessível.
Refiz tudo e também não obtive sucesso.
Lucas, verifique se o elasticsearch esta rodando:
service elasticsearch status
se nao, o status deve estar "failed" entao tente reiniciar:
service elasticsearch start
em seguida verifique o status novamente do "elasticsearch" se estiver "active" veja agora se a porta 9000 esta aberta, se sim e so acessar o site do graylog na porta http://192.168.56.11:9000/
bons estudos!