Descobri: era um problema, hardware ou drivers, com a placa de rede no servidor. O "servidor" é uma Apple TV de primeira geração hackeada que executa o Linux e, por algum motivo, a ethernet integrada não estava funcionando muito bem ao fazer o mascaramento. Eu pluguei um dongle USB ethernet gigabit e tudo está bem!