问轻量应用服务器 Docker 部署后公网端口无法访问，应如何排查？

场景：在腾讯云轻量应用服务器（Ubuntu 22.04，2核2G）上用 Docker 部署了一个 Nginx 容器，映射 8080:80。 现象：服务器内部执行 curl http://127.0.0.1:8080 可以正常返回页面，但从本地电脑访问 http://公网IP:8080 一直超时，没有任何响应。 已尝试： 1. 在轻量服务器控制台防火墙里添加了 TCP 8080 规则，来源 0.0.0.0/0。 2. 执行 docker ps 确认端口映射为 0.0.0.0:8080->80/tcp。 3. 服务器上 ufw 状态为 inactive。 想请教： 1. 除控制台防火墙外，还有哪些环节可能拦截公网访问（如系统 iptables、Docker 网络规则）？ 2. 有没有一套推荐的分层排查命令，用来定位是网络层还是容器层的问题？ 3. 轻量服务器是否存在默认的端口访问限制，需要额外开通？