443 открыт. TLS отвечает. Данные стоят. Типовой постмортем WireGuard через WSS/wstunnel: проверка соединения зелёная, короткий обмен проходит, передача объёма зависает. Поверхностный диагноз — «тормозит приложение». Рабочая гипотеза — PMTU black hole: промежуточный участок не пропускает крупные внешние IP-пакеты, а ICMP Fragmentation Needed или IPv6 Packet Too Big не возвращается отправителю. Сначала смотрим внешний TCP: ss -tinp 'dport = :443' — pmtu, mss, retrans и rto. Затем nstat -az TcpRetransSegs TcpExtTCPTimeouts: важен прирост за время зависшей передачи, абсолютные значения относятся ко всему хосту. Дамп tcpdump -ni eth0 'tcp port 443 or icmp or icmp6' снимаем на реальном внешнем интерфейсе. Повторные передачи одних диапазонов TCP при успешном коротком обмене поддерживают гипотезу; сами по себе ретрансляции её не доказывают. Граница принципиальна: wstunnel переносит датаграммы через поток TCP. Размер WireGuard-пакета не задаёт размер внешнего TCP-сегмента, поэтому вычитать из ...