В 03:00 упали новые DNS-запросы и ingress, при этом старые соединения продолжали работать. Поверхностный диагноз указывал на резолвер и сеть, но ядро уже отказывало в создании новых треков: счетчик nf_conntrack_count уперся в nf_conntrack_max, а в dmesg и статистике росли drop. Диагностика начинается с цифр, а не с рестарта: cat /proc/sys/net/netfilter/nf_conntrack_max, cat /proc/sys/net/netfilter/nf_conntrack_count, conntrack -C, ss -s и проверка dmesg на nf_conntrack: table full, dropping packet. Если count равен max, а новые UDP 53 и TCP 80 и 443 не устанавливаются, это не DNS, это переполнение таблицы. Причина обычно прозаична: короткие UDP-сессии, агрессивные health-check, NAT без таймаутов и мусорные потоки держат записи дольше жизни соединения. Лечение без рестарта узла: поднять nf_conntrack_max с запасом под пиковую нагрузку, урезать таймауты для UDP и assured, чистить conntrack -D для мертвых потоков и вынести подсчет заполнения в мониторинг с порогом 80 процентов. Подробный р...