В 03:00 мониторинг показал: WireGuard up, handshake свежий, TCP/443 доступен. Реальность была прозаичнее: SYN и ACK проходили, а сегменты после TLS ClientHello превышали эффективный MTU mesh. Внешняя UDP-обёртка добавляла заголовки, ICMP Packet Too Big не возвращался, и PMTUD превратился в чёрную дыру. AmneziaWG не отменяет физику, он лишь добавляет ещё один слой упаковки. Проверка начинается не с перезапуска pod: tracepath -n , ip -d link show wg0, ip -s link show wg0, затем tcpdump -ni wg0 -vv 'tcptcpflags & tcp-syn != 0'. Смотрите MSS в SYN, размеры outer-пакетов на физическом интерфейсе и счётчики: nstat -az | grep -Ei 'Frag|Mss|Retrans'. Если SYN рекламирует 1460, а туннелю реально доступно 1360, диагноз уже написан. Временно фиксируем наблюдаемое, а не желаемое: iptables -t mangle -A FORWARD -p tcp --tcp-flags SYN, RST SYN -j TCPMSS --clamp-mss-to-pmtu. Для nftables — nft add rule inet filter forward tcp flags syn tcp option maxseg size set 1360. Значение выбирается по измеренному минимуму MTU, а не копируется из чужого WireGuard-конфига. Дополнительно проверяем sysctl net.ipv4.tcpmtuprobing=1, но это страховка, не замена исправному ICMP. Экономический итог неприятен: четыре строки firewall и один packet capture обычно дешевле managed-сервиса, платного egress и ночного простоя. Но универсальный clamp на весь кластер тоже создаёт налог: лишние ACK, меньшая полезная нагрузка и незаметная потеря throughput. Полный разбор диагностики и расчёта MTU: https://ftops.space/? utmsource=telegram&utmmedium=smm&utmcampaign=ftops&utmcontent=tcp-mss-clamping-i-skrytye-lovushki.