A resposta curta: As regras que você criou para ufw são na cadeia INPUT que não impacta o tráfego de rede originado do sistema rodando ufw. Você precisa de regras na cadeia OUTPUT para gerenciar esse tráfego.
A resposta longa: A primeira coisa a saber em um netfilter firewall (o nome do projeto para o firewall de filtro de pacotes do kernel) regras são verificadas sequencialmente e o destino do pacote (ACCEPT, DROP, REJECT etc.) é determinado em um primeira correspondência.
Do seu iptables -L -n -v , você vê duas tecnologias complementares que gerenciam o seu filtro de pacotes, ambas ufw e fail2ban criaram conjuntos de regras ipchains.
O conjunto de regras gerenciado pelo fail2ban é processado primeiro, porque na cadeia INPUT as cadeias fail2ban são listadas primeiro. Aqueles se aplicam às portas padrão do servidor web 80 & 443 ou para a porta ssh 22.
Como aparentemente nenhum usuário de abuso foi detectado, nenhum endereço IP é excluído pelas regras do fail2ban, eles não correspondem a nada ainda e usam RETURN para processamento adicional do pacote a ser feito pelos conjuntos de regras do ufw.
Lá você vê todas as regras personalizadas do ufw no ufw-user-input e os contadores mostram de fato o que você já deduziu do comando wget 37.187.183.206 : aparentemente, essas regras nunca foram correspondidas.
Chain ufw-user-input (1 references)
pkts bytes target prot opt in out source destination
0 0 DROP all -- * * 0.0.0.0/0 37.187.183.206
0 0 DROP all -- * * 37.187.183.206 0.0.0.0/0
...
A razão para isto é que os pacotes originados de seu sistema, como aqueles criados a partir de seu comando wget, devem ser filtrados na cadeia OUTPUT e nunca coincidir com a cadeia INPUT.
Todo o tráfego a partir de 37.187.183.206 é bloqueado e se o seu sistema for um router / firewall entre o seu servidor e o 37.187.183.206 esse tráfego também será bloqueado, mas os pacotes criados pelo seu servidor são um caso especial e não estão bloqueados.
Para esse caso de uso especial, eles também devem estar na cadeia ufw-user-output .
O motivo pelo qual as solicitações de ping de 37.187.183.206 são permitidas está na cadeia ufw-before-input a regra para aceitar solicitações de eco (ICMP tipo 8) é aceita antes que a cadeia com suas regras personalizadas seja referenciada.
Chain ufw-before-input (1 references)
pkts bytes target prot opt in out source destination
<snip>
0 0 ACCEPT icmp -- * * 0.0.0.0/0 0.0.0.0/0 icmptype 8
<snip>
6880K 500M ufw-user-input all -- * * 0.0.0.0/0 0.0.0.0/0