В 03:00 алерт сообщил OOM на edge-узле. Поверхностный диагноз был привычным: «утекла память в bgpd». Процесс bgpd не падал, systemd показывал active, а соседства BGP продолжали жить. Значит, виноват якобы userspace. Двусторонний захват быстро испортил эту красивую версию: tcpdump -ni any 'icmp or tcp port 179' на обоих концах показывал один и тот же поток, возвращающийся с уменьшающимся TTL. traceroute -n -T -p 179 повторял hop’ы. В control plane был route leak с некорректным next-hop, а forwarding plane гонял пакеты по кругу. Память исчезала не только из RSS. Проверка conntrack -S, slabtop -o, nstat -az и /proc/net/softnet_stat показала рост conntrack, skb-объектов и softnet drops. Для подтверждения смотрите ip -s link, ss -s и dmesg -T | grep -i -E 'oom|page allocation|conntrack'. Ядро захлёбывалось обработкой трафика, пока мониторинг честно обвинял BGP. Сначала остановили рекламу дефектного префикса и удалили маршрут из FIB, затем ограничили принятие маршрутов фильтрами и про...