Сеттинг следующий : есть DGS-1210-24

На нём настроен VLAN : VID=101, tagged ports = 21,22, untagged ports = 1
PVID порта 1 = 101

Ещё на нём есть дефолтный VLAN1 с untagged ports = 9-24

в 21 порт воткнута машина (назовём её pve), на которой крутится виртуалка с прозрачной прокси (можно считать, что мост), которая одним концом воткнута в eth1.101 (101 VLAN интервейса, который воткнут в свитч), вторым -- в аплинк, где есть какая-то сеть, какие-то машины, dhcp-сервер и прочие радости.

Ещё на этой машине поднят мост между аплинком и native eth1.

Теперь загадочное : насколько я могу судить, машины в VLAN1 живут совершенно нормально.
Машина, воткнутая в port 1 (VLAN 101) не получает DHCP. Но в то же время если ей вручную назначить какой-то адрес, пинги между ней и чем угодно ходят как надо (попадают на eth1.101@pve, попадают в виртуалку с transparent proxy, идут в аплинк и там живут как надо). tcpdump на разных интерфейсах показывает, что DHCP-запросы проходят как надо, доходят до сервера, сервер отвечает, ответы проходят через прокси, попадают на нужный мост в pve, попадают на eth1.101 и уходят в свитч, а дальше в отличие от пингов теряются.

Вроде DHCP screening, safeguard engine и прочее секурити на свитче выключены.

В чём могут быть грабли?

UPD : прошивка была 2.01.002, перешил на последнюю (2.02.002) -- проблема осталась.

UPD2 : Аналогичный сеттинг на DES-3200-10 работает без сюрпризов.

ACL на коммутаторе случаем не используется?

Заводские настройки ACL. Сейчас посмотрю подробнее.

Значит ли эта строчка
>>>
Current/Max. Profile: 0/50, Current/Max. Rule: 0/240
<<<
что не используется?