From b31c5eb7e943e1f4be76faf38c8ffe32886d62ac Mon Sep 17 00:00:00 2001
From: =?UTF-8?q?=E2=80=9CNaeel=E2=80=9D?= <tazet@narod.ru>
Date: Sat, 15 Aug 2026 16:01:22 +0400
Subject: [PATCH] =?UTF-8?q?HISTORY:=20=D0=A4=D0=B0=D0=B7=D0=B0=201=20?=
 =?UTF-8?q?=E2=80=94=20=D1=81=20=D0=BB=D0=BE=D0=BA=D0=B0=D0=BB=D0=B8=20403?=
 =?UTF-8?q?=20InvalidClientTokenId=20(=D1=81=20=D0=92=D0=9C=20=D0=BE=D0=BA?=
 =?UTF-8?q?);=20/health=205=D0=BC=D0=B8=D0=BD=20=D1=87=D0=B8=D1=81=D1=82;?=
 =?UTF-8?q?=2032391=20=D0=B7=D0=B0=D0=BA=D1=80=D1=8B=D1=82=20=D1=81=D0=BD?=
 =?UTF-8?q?=D0=B0=D1=80=D1=83=D0=B6=D0=B8?=
MIME-Version: 1.0
Content-Type: text/plain; charset=UTF-8
Content-Transfer-Encoding: 8bit

---
 HISTORY/2026-08-14-session-log.md | 18 ++++++++++++++++++
 1 file changed, 18 insertions(+)

diff --git a/HISTORY/2026-08-14-session-log.md b/HISTORY/2026-08-14-session-log.md
index 412e4c0..b121937 100644
--- a/HISTORY/2026-08-14-session-log.md
+++ b/HISTORY/2026-08-14-session-log.md
@@ -1095,3 +1095,21 @@ timestamp таймаутов).
 - Итог Фазы 0: nginx чист (max 68мс, 499=0) → потери между nginx и клиентом;
   kube-vip сконфигурирован с ошибками (сломанный leader election + LB без
   пулов) — кандидат в тикет, но прямой связи с 37с пока не доказано.
+
+## 2026-08-15 — Фаза 1: 403 InvalidClientTokenId С ЛОКАЛИ (с ВМ работает)
+
+Факты:
+1. TCP-зонд MTU-порога (443, бинарный): до 20KB — всё мгновенно (403 от пода,
+   mss=1448 подтверждён). В диапазоне 20–200KB — кластеры зависаний на 20с
+   («порог» ~82KB), но зависания кластерные и, вероятно, не от размера.
+2. 60 чистых connect к 443 — 0 сбоев; 5-мин серия POST /health (512б, 538 проб)
+   — **0 сбоев** → явление B не воспроизводится на /health, привязано к
+   SQS-трафику или к другим условиям.
+3. Порт 32391 (NodePort) с локали НЕДОСТУПЕН (SYN дроп), реальный путь — 443.
+4. **НОВОЕ**: с ~14:30 все AWS-запросы С ЛОКАЛИ дают 403 InvalidClientTokenId
+   (aws CLI и boto3, креды те же). С ВМ те же креды РАБОТАЮТ (list-queues OK).
+   /health с локали — 200. Значит: внешний путь к шлюзу теперь отвергает
+   токен, внутренний — принимает. Днём (30-мин тест 12:27–12:57) внешний путь
+   РАБОТАЛ → аутентификация внешнего пути сломалась/сбросилась между 13:00 и
+   14:30. Возможная связь: обновление kubeconfig пользователем ~14:10–14:20.
+5. Фаза 1 (SQS-цикл с таймстемпами) ЗАБЛОКИРОВАНА этим 403.