>наврное лучше всего оплатить консультацию квалифицированного сетевого
инженера, который сможет проанализировать дампы. потому что по таким
признакам ("285 пакетов с SACK из 2284 суммарно") что-то достоверно
сказать нельзя, но их как-то черезчур многовато и возникают подозрения
не проблемы на сетевом уровне.

> возможно проблемы с half/full дуплексом
со стороны сервера.
я пробовал запускать виртуалку с nginx на двух разных физических серверах. (и по совместительству это были разные гипервизоры: ESXi 5.5 и Proxmox/KVM)
судя по ifconfig на гипервизоре сейчас, коллизий 0 - соответственно это не half duplex.
ethtool -S enp2s0f0 | egrep 'miss|over|drop|lost|fifo' - по нулям

На виртуалке сейчас watch -n1 -d ifconfig -a показывает примерно один dropped пакет в секунду.
Может ли один отброшенный пакет в секунду доставлять такие проблемы. Допустим. Это единственная очевидная зацепка пока.

Интернет пишет по этому поводу:
Some general reasons
* NIC ring buffers getting full and unable to cope-up with incoming bursts of traffic
* CPU receiving NIC interrupts is very busy and unable to process
* some cable/hardware/duplex issues
* some bug in NIC driver

Попробую решить первые два пункта. Если есть ещё соображения - буду признателен.