mtu-blackhole

MTU 黑洞导致连接卡住

现象

小包（ping、DNS、HTTP 握手）正常，大包或 HTTPS 请求卡住；跨节点/跨云访问时明显，curl 长时间无响应，抓包看到大包丢失或分片失败。

快速定位

ping -M do -s 1472 <HOST>
ping -M do -s 1400 <HOST>
tracepath <HOST>
ip link show

抓包看 ICMP 需要分片：

tcpdump -i any -n 'icmp or tcp port 443' -vv

检查隧道/Overlay MTU：

ip link show | grep -E 'mtu|vxlan|geneve|wireguard'

常见根因

• 路径 MTU 小于接口 MTU，且 ICMP fragmentation needed 被防火墙丢弃。
• VXLAN/Geneve/WireGuard 封装增加开销，未调整 MTU。
• 云厂商网络或 VPN 的 MTU 限制。
• 容器 CNI 的 MTU 与宿主机不一致。
• 中间设备不支持分片。

修复

• 调整接口/CNI MTU，例如 VXLAN 常用 1450 或更低。
• 允许 ICMP fragmentation needed 通过。
• 在应用侧启用 PMTUD 或降低 TCP MSS。
• 对 VPN/隧道做 MSS clamping。
• 用 ping -M do 逐级确认最大可用包大小。
• 修改后重启网络组件并验证大包传输。

相关命令

• ping -M do — 路径 MTU 探测
• tracepath — 路径 MTU
• tcpdump — 抓包
• ip link — 接口 MTU
• nft / iptables — MSS clamping