Несанкционированный egress может выглядеть как здоровый сервис. Сценарий отказа: pod устанавливает соединения с посторонним IP:443, readiness зелёный, ошибок нет. Поверхностный мониторинг рапортует о доступности. В datapath Cilium тоже всё штатно: политика разрешает выход. Отказ здесь — разрыв между регламентом и реально применёнными ограничениями egress. Начинаем с hubble observe --from-pod prod/api-0 --verdict FORWARDED --follow. Сопоставляем назначения с разрешёнными зависимостями приложения. FORWARDED означает, что наблюдаемая точка datapath пропустила трафик; это не подтверждение доставки и не доказательство легитимности. IP:443 не раскрывает содержимое TLS. Hubble даёт метаданные потока без обязательного захвата payload через tcpdump, но генерация, экспорт и хранение событий расходуют ресурсы. Проверяем полноту наблюдения: hubble status, сообщения о потерянных событиях, доступность всех нужных узлов. Буфер конечен: отсутствие записи не доказывает отсутствие соединения. Параллельн...