Docker 29.8+ ломает доступ контейнеров Swarm к портам своего узла при ufw

В Docker 29.8.0 и новее контейнер в overlay-сети Swarm не может подключиться к ingress-порту на том же узле при включённом ufw с политикой deny incoming — запрос уходит в таймаут. Причина в том, что соединение от docker_gwbridge теперь идёт через INPUT-цепочку и docker-proxy вместо DNAT; в 29.7.2 тот же тест проходил.

• Сбой воспроизводится на Docker CE 29.9.1, в 29.7.2 соединение проходит
• ufw блокирует SYN с интерфейса docker_gwbridge, в логе [UFW BLOCK]
• Обход: ufw allow in on docker_gwbridge to any port 8080 proto tcp
• Отключение userland-proxy или ufw также устраняет проблему