В 03:11 дашборд орал, что egress закрыт: NetworkPolicy deny и ноль drop в метриках Cilium. tcpdump -i eth0 -nn dst host 203.0.113.50 не поймал ни кадра. Ложный диагноз — трафика нет. Пакет не обязан появиться на eth0, если вердикт уже вынесен bpf на lxc, а skb ушёл в overlay или умер до стека хоста. Hubble observe --since 15m --verdict FORWARDED --protocol tcp --port 443 показал flow платёжного пода на identity world (2), dst 203.0.113.50. deny-all не врал синтаксисом: toFQDNs через DNS proxy зарезолвил имя в этот адрес, и allow сработал раньше запрета. Мониторинг считал дропы. Datapath считал разрешённые форварды. Цена tcpdump здесь не в правде, а в налоге: -i any копирует skb в userspace, растит softirq и сам начинает терять кадры. Hubble забирает агрегаты из кольца событий агента: 5-tuple, identity, verdict, без полного pcap. Сверка: cilium monitor --type trace и bpftool map show | grep cilium_policy — где вердикт, там и инцидент. Ночные разборы, когда зелёная policy и пустой pcap р...