[Gimli[2BV!2B]]

Le regole mi sembrano complete e corrette.

Strana la questione dei pacchetti dall'esterno. Un comportamento del genere me lo sarei aspettato con il tuo set di regole.

Ma le tue regole alla fine funzionavano?

Per conto mio potrebbe essere colpa dello switch, potrebbe aver memorizzato la porta su cui deve instradare i frame in uscita verso i pc (prova a resettarlo) ma probabilmente riconosce che la scelta logica è quella di passarli verso il router. Quindi la macchina virtuale non può fare le modifiche necessarie.
Potresti costringere il server a spedire tutto il traffico attraverso la macchina virtuale, impostandola come gateway, così potresti escludere lo switch (sempre che tu possa fare un tentativo del genere).

Oltre a questo direi che non ho più altre idee...