В 03:17 сервис платежей сходил в Postgres чужого сегмента. Grafana по NetworkPolicy была зелёной: dropped packets = 0, policy revision совпадал с git. Дежурный грел контроллер политик. Ядро уже держало поток как легитимный. Пакет вышел с pod IP, а kube-proxy в POSTROUTING сделал MASQUERADE в адрес ноды. Host endpoint на приёмнике пускает node CIDR /16: когда-то для kubelet probe и node-exporter. Ответ сел в conntrack как ESTABLISHED. nf_conntrack_tcp_timeout_established = 432000, это пять суток. Свежий default-deny старый поток не пересматривает. Смотреть факт, не дашборд. conntrack -L -s -d покажет SNAT и оставшийся timeout. nft list chain ip nat POSTROUTING и iptables -t nat -S KUBE-POSTROUTING покажут, кто подменил адрес. ip route get from iif покажет обход TC-хука сегмента. В /proc/net/stat/nf_conntrack рост found при нулевых drop политики значит: таблица подтверждает чужой поток. Zero-trust без фильтра на host endpoint и на адрес после SNAT сегменты не делит. Патч CVE-2026-98432 это тоже не чинит: ядро латают, а allow на node CIDR остаётся. Разбор таких отказов: https://ftops.space/?utm_source=telegram&utm_medium=smm&utm_campaign=ftops&utm_content=zero-trust-setevaya-segmentatsiya-v-ra