Словил сейчас жесткую подставу от docker + ufw.

В ufw было забито `ufw default deny incoming`, а в компоуз файле бинд портов настроен как 8080:8080.
В итоге контейнер забиндился на 0.0.0.0:8080 и был доступен снаружи, не смотря на то, что дефолтное правило в фв было deny и порт явно не был открыт.
Непонятно как так вышло, раньше такого поведения не замечал. Пойду сервера проверять все -_-