用途：把含糊的“网关坏了”报告收敛到具体失败层——控制面状态、数据面注册、网络路径、配置漂移或流量行为。默认先做实时检查，仓库配置只作为期望状态，不作为已部署行为的证据。
主要能力：按症状分类（数据面断连或从未加入、配置未到达数据面、控制面存在但资源缺失或过期、连通性正常但流量失败、标签或环境边界异常）；确认目标控制面身份与区域；先查数据面注册与关联状态（注册有无、连接状态、心跳新鲜度、标签或环境不匹配、版本偏差）；区分引导/注册配置与网络可达性、TLS 证书信任、DNS 主机名、防火墙或代理；再对比期望配置与实时资源（服务、路由、插件、上游或目标、标签）；最后给出单一主诊断并交接。
使用方式：优先使用共享的 kong-konnect MCP 服务器获取当前控制面与数据面状态；CLI 输出更易汇总或过滤时用 kongctl-query 做只读检查。修复时沿用仓库既有的声明式工具链：Gateway 实体 decK 仓库用 deck-gateway，HCL 管理的 Konnect Gateway 资源用 terraform-konnect，自管理 Gateway HCL 用 terraform-kong-gateway，kongctl YAML 用 kongctl-declarative。若实时 Konnect 状态重要但 kong-konnect MCP 未连接，应尽早说明并改用 CLI 或用户提供的产物。建议先检查再建议重启、重新部署或重写配置。按分支加载对应参考文件：connection-bootstrap.md、live-vs-declarative-drift.md、traffic-path-vs-control-plane.md、common-failure-signals.md。
适用场景：Konnect Gateway 控制面/数据面故障分诊、配置漂移判断、连通性正常但流量异常时的分层定位。
限制：不吸收通用上游应用调试，也不承担声明式变更工作流本身；若路由正确而剩余故障是上游可用性、源站 TLS 或应用行为，应说明网关连接健康并交接给上游负责人。具体命令、参考文件内容及更多细节资料暂未提供。