В 03:14 на bm-a12 (K3s, Cilium 1.16) Grafana была зелёной: p99 11 мс, nfconntrackcount 107479 из 262144, softnetstat dropped 0. Под billing/checkout-7c4f за 90 с отдал 18400 flow и 86 МБ на 203.0.113.47:443**. Вердикт Hubble: FORWARDED. POLICYDENIED: 0. Дежурный потянулся к tcpdump -i eth0 host 203.0.113.47 -nn -s 128. На 10G с GRO это копия skb в AFPACKET: соседний узел показал +18% одного ядра и +140 мкс в softirq. Пакеты уже прошли bpflxc. Hubble читает ring buffer агента, не зеркало. Ложный диагноз «сеть тормозит» закрыли за 4 минуты. Реальный: egress toEntities world без порта и DNS-wildcard. Политика разрешила чужой адрес. Что показало дыру, а не RTT: hubble observe --namespace billing --from-pod checkout-7c4f --verdict FORWARDED --port 443 --since 2m. Дальше cilium endpoint list и cilium bpf policy get по id эндпоинта: allow на 0.0.0.0/0:443. cilium metrics list по dropcount и forwardcount: отказов политики нет, forward растёт. ss -s и nstat -az TcpExtTCPTimeouts молчали...