Проброс портов Docker может открыть PostgreSQL и Redis в интернет, даже если в UFW запрещён входящий и транзитный трафик.

UFW может не остановить доступ к портам контейнеров Docker, если публикация портов проходит через цепочки Docker раньше правил фаервола.

Для защиты не публикуйте PostgreSQL и Redis без необходимости, привязывайте локальные сервисы к 127.0.0.1, используйте внутренние сети Compose и проверяйте IPv6.

Базовые меры

1. Не открывайте порты баз данных наружу.
2. Используйте 127.0.0.1 или внутреннюю сеть.
3. Проверяйте правила обеих сетевых стеков.