В 03:14 мониторинг кричал: «WireGuard доступен, endpoint отвечает». На деле TCP через mesh почти умер: SYN/SYN-ACK проходили, но первый крупный сегмент терялся. На underlay был MTU 1500, после UDP и WireGuard/AmneziaWG overhead реальный inner MTU оказался 1380. Клиент рекламировал MSS 1460. p99 задержки вырос с 22 до 4800 мс, скорость передачи 32 МБ упала до 0,6 Мбит/с, а TcpRetransSegs за 10 минут вырос на 18,7%. PMTUD не помог: ICMP Packet Too Big отбрасывался на транзитном firewall. Сначала проверили факты, а не статус туннеля: ip link show wg0, ip route get 10.42.0.10, ss -ti, nstat -az | egrep 'TcpRetransSegs|TcpTimeouts|TcpExtTCPFastRetrans'. В захвате tcpdump -ni any 'icmp0 == 3 and icmp1 == 4 or udp' видны повторные TCP-сегменты и отсутствие ICMP Fragmentation Needed. ip -s link show wg0 показал рост drop без ошибок handshake. Временно зафиксировали MSS на форвардинге: iptables -t mangle -A FORWARD -o wg0 -p tcp --tcp-flags SYN, RST SYN -j TCPMSS --set-mss 1340 и сим...