В 03:00 мониторинг показал: WireGuard up, handshake свежий, TCP/443 доступен. Реальность была прозаичнее: SYN и ACK проходили, а сегменты после TLS ClientHello превышали эффективный MTU mesh. Внешняя UDP-обёртка добавляла заголовки, ICMP Packet Too Big не возвращался, и PMTUD превратился в чёрную дыру. AmneziaWG не отменяет физику, он лишь добавляет ещё один слой упаковки. Проверка начинается не с перезапуска pod: tracepath -n , ip -d link show wg0, ip -s link show wg0, затем tcpdump -ni wg0 -vv 'tcptcpflags & tcp-syn != 0'. Смотрите MSS в SYN, размеры outer-пакетов на физическом интерфейсе и счётчики: nstat -az | grep -Ei 'Frag|Mss|Retrans'. Если SYN рекламирует 1460, а туннелю реально доступно 1360, диагноз уже написан. Временно фиксируем наблюдаемое, а не желаемое: iptables -t mangle -A FORWARD -p tcp --tcp-flags SYN, RST SYN -j TCPMSS --clamp-mss-to-pmtu. Для nftables — nft add rule inet filter forward tcp flags syn tcp option maxseg size set 1360. Значение выбирается п...