CGNAT环境下配置Nginx反向代理与nftables实现HTTP加密的问题求助

各位大佬好，之前在别的技术社区发错地方了，现在来这儿求助！我家网络处于CGNAT环境，没法直接做端口转发，所以搭了一台Linode云服务器，用WireGuard把本地设备的流量都先转到Linode再出去，网络拓扑是这样的：
Local device ----{WireGuard}---> Linode server -----> Internet

现在我想在本地的旧MacBook上部署Immich服务器，需要在Linode上配置Nginx反向代理，但现在连不带HTTPS的基础代理都连不通，一直提示连接拒绝。

WireGuard的配置里，Linode端作为路由器的IP是192.168.69.1，本地客户端（MacBook）的IP是192.168.69.2。我的核心需求是：把Linode公网IP的2284端口流量转发到本地客户端的2283端口，之后再在这个基础上配置HTTPS加密。

目前我的nftables.conf配置片段如下：

table ip my_nat {
  chain my_prerouting {
    type nat hook prerouting priority dstnat;

    ip daddr <linode public ip> tcp dport { 80, 443, 2284 } dnat to 192.168.69.2:2283
  }
}

Nginx那边我也做了最基础的反向代理配置，但测试的时候还是连不上，有没有大佬能帮我排查下问题？比如nftables的规则是不是有疏漏，WireGuard的路由设置有没有问题，或者Linode的防火墙是不是没放行对应端口？

备注：内容来源于stack exchange，提问作者CrushedAsian255