Handshake обновлялся, healthcheck возвращал 200, загрузка образа стояла. Учебная реконструкция ночного отказа, цифры сценарные: 02:46, WireGuard mesh между узлами K3s, MTU туннеля 1420, внешний IPv4-путь допускает только 1400 байт. Полный внутренний пакет после инкапсуляции требует 1480. Маленькие запросы проходят; передача крупного ответа зависает. Дашборд обвиняет ingress, дежурный предлагает добавить реплик. Реплики размер пакета не уменьшают. Проверка: ping -4 -M do -s 1372 проходит, с -s 1373 получает отказ по размеру. Это замер ICMP-пути; маршрут UDP туннеля проверяем отдельно. На отправителе ss -ti показывает retrans и рост rto; nstat -az — TcpRetransSegs. В сценарии за 60 секунд счётчик вырос на 180, но сам по себе он не доказывает MTU-проблему. Захват на внешнем интерфейсе и промежуточном маршрутизаторе подтверждает: крупные датаграммы отбрасываются, ICMP fragmentation needed обратно не доходит. Если внешний IPv4 разрешает фрагментацию, искать нужно ещё и потер...