Acontece que o convidado não tem o gateway padrão definido corretamente. Eu pude dizer isso executando
route -N
no convidado e mostrou que não havia um conjunto de rotas padrão. Para corrigir isso, eu corri
route del default
route add default gw 192.168.2.100 eth1
e o convidado agora pode se comunicar corretamente com o tráfego NAT da Internet.