给自建服务做防火墙时，容易出现一个误判：UFW只放行了SSH、80、443，于是认为容器的管理端口也被挡住了。但在LinuxDocker常见的bridge端口发布场景里，容器流量经过的路径和宿主机普通进程不同。Docker官方文档明确说明，发布端口的流量可能在进入UFW使用的INPUT/OUTPUT链之前就被转走。