Дело раскрыто:
Ночью ковырял входной маршрутизатор, RB4011+WiFi. В него приходит оптика со статичным IP в интернете, а за ним - тот самый сервер и прочие жители локальной сети. Играл с тонкой настройкой фаервола, и... проиграл. За ночь прилетел пассажир на сервер. Как он обошел UFW Убунты в тандеме с fail2ban - я пока не знаю, но в локалку его впустила моя рукожопость при ковырянии Микротика.