Handshake обновлялся, healthcheck возвращал 200, загрузка образа стояла. Учебная реконструкция ночного отказа, цифры сценарные: 02:46, WireGuard mesh между узлами K3s, MTU туннеля 1420, внешний IPv4-путь допускает только 1400 байт. Полный внутренний пакет после инкапсуляции требует 1480. Маленькие запросы проходят; передача крупного ответа зависает. Дашборд обвиняет ingress, дежурный предлагает добавить реплик. Реплики размер пакета не уменьшают. Проверка: ping -4 -M do -s 1372 проходит, с -s 1373 получает отказ по размеру. Это замер ICMP-пути; маршрут UDP туннеля проверяем отдельно. На отправителе ss -ti показывает retrans и рост rto; nstat -az — TcpRetransSegs. В сценарии за 60 секунд счётчик вырос на 180, но сам по себе он не доказывает MTU-проблему. Захват на внешнем интерфейсе и промежуточном маршрутизаторе подтверждает: крупные датаграммы отбрасываются, ICMP fragmentation needed обратно не доходит. Если внешний IPv4 разрешает фрагментацию, искать нужно ещё и потери фрагментов: IpReasmFails на принимающей стороне, а не только TCP retransmits. Для обычного WireGuard поверх IPv4 здесь потолок внутреннего MTU — 1340: 1400 минус 60 байт инкапсуляции. Для внутреннего IPv4/TCP это MSS 1300 без опций. Исправляем MTU и доставку ICMP, затем проверяем новые соединения. TCPMSS --clamp-mss-to-pmtu опирается на известный ядру PMTU: при ошибочном маршруте он тоже ошибается. Правило должно попадать на SYN в нужных направлениях; FORWARD не обработает локальный OUTPUT. Старые соединения MSS заново не согласуют, UDP clamping вообще не лечит. Для AmneziaWG бюджет проверяем по версии и конфигурации: число 60 нельзя переносить вслепую. Контроль после исправления — передача крупного файла, UDP-пакеты нужного размера и отсутствие роста retransmits под той же нагрузкой. Добавление ingress-реплик и облачного балансировщика продаёт обходной маршрут, но не объясняет отказ. Инвариант эксплуатации: каждый слой инкапсуляции должен помещаться в MTU следующего участка. https://ftops.space/?utm*source=telegram&utm*medium=smm&utm*campaign=ftops&utm*content=tcp-mss-clamping-i-skrytye-lovushki