Как пробросить SSH с Wireguard VPN сети на SSH хоста?

Question

[bqio]

Имеется хост машина VPS. На ней развернут докер и контейнер wg-easy.

Его docker-compose:

services:
  wg-easy:
    environment:
      - LANG=ru
      - WG_HOST=myhostname
      - WG_DEFAULT_ADDRESS=10.10.0.x
      - WG_MTU=1420
      - WG_ALLOWED_IPS=10.10.0.0/24, 10.10.1.0/24
      - WG_PERSISTENT_KEEPALIVE=25

    image: ghcr.io/wg-easy/wg-easy
    container_name: wg-easy
    volumes:
      - etc_wireguard:/etc/wireguard
    ports:
      - "51820:51820/udp"
    restart: unless-stopped
    cap_add:
      - NET_ADMIN
      - SYS_MODULE
    sysctls:
      - net.ipv4.ip_forward=1
      - net.ipv4.conf.all.src_valid_mark=1
    networks:
      wg-intranet:
        ipv4_address: 10.10.1.2
volumes:
  etc_wireguard:

networks:
  wg-intranet:
    ipam:
      config:
        - subnet: 10.10.1.0/24

Как видно, в докере была создана подсеть для контейнеров, чтобы я мог к ним обращаться после того, как подключусь к сети Wireguard. Например, веб-интерфейс wg-easy по 10.10.1.2:51821

Как мне подключиться по SSH к хост машине изнутри VPN сети в ней самой? Порты снаружи хоста закрыты для безопасности. Заметил особенность, что если отключить UFW, то спокойно могу зайти на SSH по 10.10.1.1, но как только UFW включаю, то сразу не пускает. Всякого рода DEFAULT_FORWARD_POLICY="ACCEPT" и ufw route allow пробовал, но не работает. Может я что-то упускаю?