QEMU, bridge и iptables

Здравствуйте.

Есть такая проблема: не видно сети из виртуальной машины и виртуальной машины из реальной сети.
Более подробно о конфигурации.
Есть сервер с Debian Etch. На нем поднял QEMU с KVM, сеть хочу сделать через бридж. Завел интерфейс tap0, сделал мост br0 из туннельного tap0 и реального lan0, мосту br0 присвоил IP внутренней сети, у lan0 и tap0 адресов по умолчанию нет. На хост-системе установлен dhcpd, раздающий адреса компьютерам локальной сети. Так как это сервер, на нем настроен файрволл, разрешающий доступ из сети к серверу по определенным портам (www, ssh, dhcp, nfs и т.д.). Правила выглядят примерно так:

iptables -A INPUT -i br0 -s 192.168.128.0/24 -d 192.168.128.51 -p tcp -m multiport --dports 20,21,22,80,3128,... -j ACCEPT

для udp тоже есть свои правила, есть выход через VPN (он поднят на самом сервере, а также проброшен наружу, чтобы подключаться к VPN-серверам в интернете):

iptables -A INPUT -i br0 -p tcp -s 192.168.128.0/24 -d 0/0 --dport 1723 -j ACCEPT
iptables -A INPUT -p gre -j ACCEPT

Для доступа в интернет настроен NAT, в таблице filter в цепочках INPUT и FORWARD политика по умолчанию DROP, в цепочке OUTPUT - ACCEPT.
Все правила выкладывать не стал, их довольно много, если нужно будет - скажите.
Собственно, виртуальная машина получает адрес от dhcpd (т.е. от хост-системы), может хост-систему пинговать, ее MAC виден в таблице ARP, из нее можно подключиться к хост-системе по PPTP и получить доступ в интернет.
А вот другие машины в сети система-гость не видит никак, даже не пингует. На целевой компьютер пакеты от виртуалки не приходят (смотрел tcpdump'ом). С машин локальной сети виртуалку тоже не видно, если ее пинговать, то пинги не проходят, но в ARP-таблице появляется её MAC-адрес.

Вопрос - как можно настроить файрволл, чтобы все всех видели? Я подозреваю, что надо где-то прописать tap0, только вот где?