请教 firewalld 的端口转发

Nginx 服务 监听 IP 0.0.0.0 端口 80
开了一个 tun，10.0.0.1/24
HAProxy 监听 10.0.0.2 端口 80，后端 10.0.0.1 端口 80
想实现：外部请求 80 -> 10.0.0.2:80 -> 10.0.0.1:80 (localhost:80)

```
firewall-cmd --zone=public --add-service=http
firewall-cmd --zone=public --add-forward-port=port=80:proto=tcp:toaddr=10.0.0.2
```

用 80 端口连接，不通。

但是如果用一个新端口：
```
firewall-cmd --zone=public --add-forward-port=port=81:proto=tcp:toaddr=10.0.0.2:toport=80
```

用 81 连接，通。

请问这个是什么原因造成的？被原端口干扰了吗？请问这个应该怎么处理