[OpenVZ][глюки?][iptables?][яхз] Недоступность OpenVZ-хоста при определенных действиях

Очередная неразрешимая загадка от меня :)

Есть все тот же многострадальный сервер с Debian'ом, OpenVZ с ~десятком машин. Машины разделены на 3 группы - сервисы локальной сети (сквид, ДНС, видеонаблюдение, etc), публичные сервисы (хостинг, джаббер), изолированные сервисы.

Каждая группа вынесена в отдельную сеть, машины используют Virtual Ethernet Device и подключены к своему бриджу; к нулевому бриджу помимо прочего подключен и физический интерфейс - eth0 - который соединен с моей локальной сетью. Еще есть отдельный VLAN, который через тот же интерфейс выводится на порт управляемого свича и далее на точку доступа (это не важно, но чуть ниже будет ясно, зачем расписал).

Соответственно, все это дело обслуживается iptables, который пробрасывает порты снаружи на веб-сервер, SNAT'ит пакеты из локальной сети, изолирует сети друг от друга и так далее. Все работает как надо. Но.

Все машины в контейнерах (да и CT0 тоже) имеют доступ к репозиторию для обновления, раздаваемому через тот же веб-сервер на хостинге. Вчера заметил странную вещь - в момент обновления пропадает доступ из локальной сети к веб-серверу. Собственно, суть даже не в обновлении - достаточно просто обратиться (с любого контейнера (кроме самого веб-сервера, для которого этот трафик будет локальным и не пройдет через сетевой интерфейс) или CT0) на порт веб-сервера (nc -w1 -z host 80), как из локальной сети (пробовал с разных хостов) порт становится filtered. При этом:

- с контейнеров любой сети, в т.ч. и тех, что относятся к локальным сервисам, а также с CT0 веб-сервер все равно остается доступен
- снаружи веб-сервер доступен
- с ноута, подключенного по WiFi (тот самый отдельный VLAN, упомянутый выше) веб-сервер доступен
- запрещающих правил в iptables CT0 нет
- отслеживание tcpdump'ом показало, что syn-запросы проходят на веб-сервер, но отклика нет
- счетчик трафика на интерфейсе контейнера показывает, что RX меняется, а TX остается без изменений.
- iptables контейнера запрещающих правил не содержит.
- порт в состоянии filtered находится всегда ровно минуту - http://rghost.ru/16198211

Доктор, что это?