问轻量应用服务器防火墙已放通 80 端口，公网仍访问超时怎么排查？

场景：在腾讯云轻量应用服务器（Ubuntu 22.04）上用 Docker 部署了一个 Nginx 容器，映射 80:80。控制台防火墙里已添加 TCP 80 规则，来源 0.0.0.0/0。 现象： 1. 服务器内部 curl http://127.0.0.1 返回 200。 2. 本地电脑访问 http://公网IP 一直超时，没有任何响应。 3. 本地 telnet 公网IP 80 同样连不上，但 22 端口 SSH 正常。 已尝试： 1. 在服务器上 ss -lntp 确认 0.0.0.0:80 正在监听。 2. 执行 iptables -L -n，没有看到明显的 DROP 规则，ufw 状态为 inactive。 3. 重启过容器和实例，现象不变。 想请教： 1. 除了控制台防火墙和系统防火墙，还有哪些环节可能拦截 80 端口，例如备案或域名拦截、运营商限制？ 2. 如何用 tcpdump 判断请求是否真正到达了实例网卡，从而区分是链路上拦截还是实例内部问题？ 3. Docker 的 iptables 规则会不会让 ufw 和防火墙的表现不一致，应该怎么检查？