Почему UFW не спасает от Docker: анатомия сетевой подставы и что ищут боты в открытых портах БД Свежий VPS, UFW включён, SSH только по ключу, остальное в deny. Поднимаем Docker с Qdrant, Redis и PostgreSQL, отходим налить кофе. Через пять минут в логах Redis уже висит чужая команда REPLICAOF. От запуска контейнера до первого подключения бота прошло всего 1 минута 52 секунды. И это не единичный случай. На тестовом стенде ufw status показывает, что входящие подключения запрещены, кроме SSH и веба. Но PostgreSQL и Redis спокойно отвечают на запросы извне. Какого лешего пакеты вообще добираются до контейнеров? Чтобы разобраться, придётся залезть в Netfilter, проверить IPv6 и посмотреть, что боты делают в первые секунды после подключения. Заодно выясним, как закрыть порты и почему один популярный совет из интернета может оставить контейнеры без доступа к сети.