tcpdump -ni lo показывает причину. Это не баг... Или, по крайней мере, не баг CUPS.

В качестве выхода из положения можно использовать
iptables -t nat -A POSTROUTING -o lo -j ACCEPT
первым правилом в POSTROUTING. А ещё правильнее MASQUERADE привязывать к конкретным интерфейсам.

Вообще, наверное, это совсем не баг, а правильное поведение iptables: можно бы натить от IP интерфейса, 127.0.0.1 того же, но это откроет способ несанкционированного доступа к ресурсам хоста. В пределах L2-сети, но тем не менее. В общем, надо закрывать.