Das Problem war der "Blat Attack" -Filter. Ein Blat-Angriff ist eine Spezialisierung eines "Landangriffs", aber irgendwie hat sich der Filter nur dazu entwickelt, um nach der Spezialisierung zu suchen, nicht nach dem vollen Angriff. Im Detail...
Bei einem "Landangriff" sendet ein Angreifer ein gefälschtes TCP-SYN-Paket mit der IP-Adresse des Opfers als Ziel- und als Quell-IP-Adresse. Das anfällige System reagiert in einer Rückkopplungsschleife auf sich selbst. Ein "Blat-Angriff" ist eine "Verbesserung" des Landangriffs und fügt hinzu, dass die Quell- und Zielports identisch sind und manchmal auch die URG-Flagge missbrauchen.
Irgendwann dachte jemand, es sei schon immer bösartig, ein IP-Paket mit demselben Quell- und Zielport zu senden, sodass die Blat-Attack-Verteidigung jedes IP-Paket mit demselben Quell- und Zielport blockiert, obwohl absolut nichts dabei ist falsch damit, wenn die Quell- und Zieladresse unterschiedlich sind.
Bonjour (mDNS) sendet Meldungen an und von demselben Port (5353), und die Blat-Attack-Verteidigung verhindert, dass diese Pakete weitergeleitet werden. Da der Blat-Attack-Filter in seiner aktuellen Implementierung wirklich unbrauchbar ist (Blat-Attacken würden durch den Land-Attack-Filter sowieso angehalten), gibt es keinen Grund, ihn nicht auszuschalten, also habe ich das getan und das Problem gelöst.