问CLB 七层健康检查收到 302 就标异常，业务却还能访问，如何排查？

场景：广州地域公网 CLB，HTTP 监听器端口 80，转发域名 api.example.com，后端端口 8080。两台 CVM 同 VPC，内网 10.0.1.12、10.0.1.13，OpenCloudOS 9，Nginx 监听 0.0.0.0:8080。探测源 IP 为 100.64.0.0/10，检查域名默认与转发域名相同，检查路径默认 /，方法 GET，正常状态码只勾 http_2xx。响应超时 2 秒，间隔 5 秒，不健康阈值 3 次，健康阈值 3 次。未登录访问 / 返回 302 到 /login，/healthz 返回 200。

现象：

1. 两台健康状态都是异常。新机器先显示探测中，约十几秒后变为异常。
2. 直连后端时，Host 为 api.example.com，/healthz 返回 200，/ 返回 302。
3. access log 里 clb-healthcheck 只打到 /，状态码 302，没有打到 /healthz。
4. 两台都异常后，访问该域名仍能打开，只是跳到登录页。

已尝试：

1. 安全组只放通 10.0.0.0/16 的 TCP 8080，CLB 已开启安全组默认放通。探测已进日志，未改规则。
2. firewalld 未运行，iptables 的 INPUT 为 ACCEPT。
3. 检查路径仍是 /，还没改成 /healthz。

问题：

1. 探测的 Host 和路径，是否等于检查域名和检查路径？域名留空时 Host 是什么？
2. 只勾 http_2xx 时，302 是否判为失败？勾上 http_3xx 会不会把登录跳转当成健康？
3. 安全组未放行 100.64.0.0/10 但包已到 Nginx。安全组和主机防火墙是否都要放行该网段？
4. 全部异常时是否仍转发？恢复要连续成功几次？探测中会接流量吗？