Маршрут до Европы нельзя отдавать туннелю до Европы. Типовой постмортем для BGP поверх obfuscated WireGuard: после импорта default трафик замирает, мониторинг обвиняет ТСПУ. Но совпадение с переключением маршрута — улика против собственной конфигурации. Обфускация меняет внешний вид транспорта; независимую доставку до endpoint она не создаёт. Проверка начинается с ip -4 rule show и ip -4 route show table all. Затем ip -4 route get ENDPOINTIP>: нужен адрес реального внешнего транспорта, включая обфускатор. Если сокет использует метку, повторяем lookup с mark ; при policy routing учитываем также источник. Выход через сам туннель выдаёт рекурсивную зависимость. tcpdump -ni IF> host ENDPOINTIP> проверяет, уходят ли внешние пакеты в физическую сеть. Смотрим дельты ip -s link show dev IF> и nstat -az: IpOutNoRoutes, IpOutDiscards. Нулевые значения не оправдывают схему: ошибочный маршрут может существовать, а пакет — уходить не туда без этих ошибок. Свежий handshake тоже не доказывает исправность транзита. Если реализация поддерживает wg show, сопоставляем handshake и transfer с захватом внешнего транспорта и прикладной пробой через европейский выход. Исправление: отдельная underlay-таблица с физическим шлюзом и явное правило для внешнего транспорта либо закреплённый маршрут до endpoint, который действительно выбирает policy routing. BGP меняет маршруты полезного трафика; импорт ограничен согласованными префиксами. При смене адреса endpoint закрепление обновляется. Обфускация не гарантирует обход ТСПУ, а второй туннель с той же зависимостью не даёт резервирования. Ещё один оператор Kubernetes этого не исправит. https://ftops.space/?utm*source=telegram&utm*medium=smm&utm*campaign=ftops&utm*content=bgp-cherez-obfuscated-wireguard-do-e