监听本地 IP 的服务居然可以被公网访问

[环境]
路由器拨号（局域网 IP192.168.1.1 公网 IP123.12.12.12 ）
主机 Ubuntu 24.04.1 LTS （局域网 IP192.168.1.2 ，与路由器 DMZ ）

[异常情况]
在主机上运行有一些服务，有的是直接跑，有的用 Docker 部署。监听地址为本机局域网 IP192.168.1.2 ，期望只允许内网访问。但实际上外网设备可以通过公网 IP+端口的形式访问这些服务。

[做过的尝试]
1.关闭了 UTUN 接口，由于本机采用 Sing box 的 tun 模式入站，猜测可能有关系。关了 UTUN 接口依然如此。
2.使用 Pyhone 起了一个最简单的文件服务，监听本地 IP ，依然可以被公网访问，说明与服务无关。
3.在阿里云服务器上测试，服务监听局域网 IP ，也可以被公网访问（排除本机故障）

[一些猜想]
1.DMZ 引起的，但是查到 DMZ 不涉及 NAT ，而且服务日志可以看见正确的外网访问的源 IP 。目前没有条件关闭 DMZ 测试，一关就失联
2.安装 Singbox 时的一些设置所引起的。例如开启了 IP 转发；修改了转发规则（源 IP 伪装）；防火墙放行了所有 TUN 接口的流量。
3.安装了 snell 服务端，这是和阿里云服务器唯一的共同点，但是不认为这会有什么影响


目前先用 UFW 防火墙只允许内网子网 IP 访问这些端口。
虽然这是一个很基础的问题，但是由于本人能力水平实在有限，反请各位高手指点一二！

我了解的一种情况是，docker 开了端口映射不指定监听 ip 会突破 ufw ，docker 会自己修改 iptables ，不知道你是不是这种

就是 dmz 引起的吧，dmz 就相当于把整个内网的某个 ip 暴露在公网了，如果进来的流量没有匹配到 nat 规则，就直接全部发给 dmz 主机，反倒是 nat 端口映射可以指定要暴露的端口，而不是全部。

DMZ 就是一层 NAT 呀，外部请求过路由器的时候，source ip 就变成了路由器的 IP ，因此能够访问你的服务，是符合预期的。

docker 的问题 docker 开出的端口不受防火墙限制 默认是 0.0.0.0:port

看起来就是单纯 DMZ 的效果，DMZ 就是能让外网通过 NAT 访问内网，你这机子监听内网 IP 地址，刚刚好呀。

这就是 DMZ 的工作方式，它将所有非 NAT 后的流量转发到指定的 IP ，你在路由器上设置 DMZ 主机为 192.168.1.2 ，那么所有监听在 192.168.1.2:*上的端口，都暴露在了公网，能在内网通过 IP：192.168.1.2 访问的服务，全部暴露在公网。

所以一般 DMZ 主机，都要开防火墙，默认阻止所有。

https://github.com/chaifeng/ufw-docker

配置了 DMZ 之后不就是这个效果吗？

docker 的网络权限很高，像在 centos7 上部署 docker 他会绕过系统防火墙 firewall-cmd ，且是基于最底层的 iptables 来操作的