问私有子网经 NAT 网关访问同一个第三方接口，高峰期偶发连接超时，该如何排查？

场景：广州地域一个 VPC，6 台业务 CVM（TencentOS Server 3.1，Java 11 应用）在私有子网，默认路由指向一个标准型 NAT 网关，网关只绑定 1 个 EIP。应用高并发 HTTPS 调用同一个第三方服务，域名固定，目前只解析到 1 个公网 IP，端口 443。

现象：

1. 每天 20:00—22:00 前后，应用日志出现 java.net.SocketTimeoutException: connect timed out，每分钟几十到几百条，其余时间基本没有。
2. 高峰期在 CVM 上执行 curl -o /dev/null -s -w '%{time_connect}\n' --connect-timeout 5 https://api.example.com/ping，大部分 20 ms 内成功，偶尔报 curl: (28) Connection timed out after 5001 milliseconds，即 TCP 握手没完成。
3. 同一时段同一台 CVM 访问另一个域名的 HTTPS 站点，没有超时。
4. 云监控中 NAT 网关的 OutBandwidth、InBandwidth 峰值远低于规格上限，ConnsUsage 峰值约 5%，Droppkg 没有明显增长，Conns 峰值约 5.8 万。
5. CVM 上 ss -s 的 TIME-WAIT 为几千到一万多，本机端口范围是默认的 32768 60999，没有耗尽。

已尝试：

1. 安全组和网络 ACL 出站全放通，低峰期同样规则下没有超时。
2. 连接超时从 3 s 调到 5 s，没有改善。
3. 在 CVM 抓包，超时的请求只有客户端 SYN 和重传，没有收到 SYN-ACK。
4. 对方说没有对我们的出口 IP 限流，也没有拒绝记录。
5. 开启了 NAT 网关流日志，但数据量很大，不知道怎么筛出这类失败连接。

问题：

1. NAT 网关的带宽、连接数使用率都没触顶，只在访问这个目的地址时出现握手超时，还可能是哪些原因？
2. NAT 网关流日志应该看哪些字段、按什么条件筛，才能确认失败发生在 NAT 这一层？
3. 如果确认与 NAT 网关有关，应用侧和网络侧各有哪些可落地的改法？