O problema não tem nada a ver com o docker.
Descobrimos que o APT tinha um proxy configurado. Não tenho certeza de como chegou lá, talvez a TI tenha colocado isso em primeiro lugar. Quando mudei para uma sub-rede diferente, o proxy quebrou (já que não seria mais acessível).
A solução foi remover a seguinte linha de /etc/apt/apt.conf.d/90-apt-proxy.conf
:
Acquire::http::Proxy "http://10.11.55.xxx:3142"
Obrigado ao @steeldriver pelos ponteiros.