Ho risolto.
Risulta essere iptables che lascia i pacchetti sul bridge. I pacchetti viaggiano attraverso FORWARD catena del filter table, non corrispondendo a nessuna delle sue regole, in modo che la policy predefinita DROP si applica.
Per verificare se è causato da iptables, possiamo provare
echo 0 > /proc/sys/net/bridge/bridge-nf-call-iptables
poi vedi se il bridge funziona.
Questo era esattamente il mio problema durante la risoluzione dei problemi di un bridge creato manualmente da utilizzare con lxd. Ho aggiunto le seguenti regole a /etc/iptables/rules.v4:
-A FORWARD -o br0 -m comment --comment "allow packets to pass from lxd lan bridge" -j ACCEPT
-A FORWARD -i br0 -m comment --comment "allow input packets to pass to lxd lan bridge" -j ACCEPT