Частично работающий сетевой мост - Ping работает, но службы не могут подключиться

Итак, вот настройка - у меня есть сеть с хостом Xen. Хост Xen настроен для моста между физической сетью и размещенными виртуальными машинами.

т.е.

[Сеть] <-----> [Xen DomO / Bridge] <-----> [ВМ]

Эта сеть частично работает, так что:

• Я могу просто пропинговать виртуальную машину со своего рабочего стола в сети.
• Если я попытаюсь подключиться к порту виртуальной машины, который заблокирован брандмауэром, я могу увидеть, что отказ регистрируется на виртуальной машине.
• Я могу получить доступ к службам как обычно, если подключаюсь с хоста Xen

НО

• Я не могу получить доступ к каким-либо службам (SSH или HTTP) прямо со своего настольного компьютера. Я вижу только тайм-аут соединения.

РЕДАКТИРОВАТЬ - Некоторые дополнительные наблюдения при поиске и устранении неисправностей / исследованиях

• Несмотря на то, что я не могу подключиться по SSH, у меня, кажется, нет проблем с SSH-выходом.
• Используя TCPDump для наблюдения за трафиком, я вижу, что рукопожатие TCP не удается: пакет SYN перемещается с рабочего стола -> виртуальная машина нормально, но SYN / ACK, похоже, не возвращает его полностью (я вижу это оставляя виртуальную машину и пересекая мост, но она никогда не попадает на мой рабочий стол).

Что может быть причиной этого и как я могу это исправить?