Hmm, naja, so ganz eindeutig ist das noch nicht. Schließlich konnte man auch mit aktiviertem ident_callback und deaktivierter Firewall über die interne IP vernünftig arbeiten. Ich weiß nicht genau was bei ident_callback geprüft wird, DNS alleine scheint es aber nicht zu sein. Ich vermute hier rückwärts einen Test auf die IP des User, der wiederum durch die Firewall blockiert wird. Eine andere Erklärung habe ich nicht dafür.
Habe noch etwas gefunden: https://de.wikipedia.org/wiki/Ident . Offensichtlich wird ein Rückweg über Port 113 TCP aufgebaut.