Обфускация не спасает от собственной таблицы маршрутизации. Разбираем сценарий отказа: bare-metal шлюз держит BGP через obfuscated WireGuard до европейского узла. Полученный default становится предпочтительным в таблице, которую выбирает policy routing для внешнего UDP транспорта. Пакеты к endpoint уходят обратно в туннель. Снаружи это выглядит как фильтрация ТСПУ: трафик встал, затем истёк BGP hold timer. Но причина уже лежит в локальной FIB.