mtu-issue

MTU 不匹配导致大包不通的定位

现象

小包（ping、DNS）正常，大包（TLS 握手、SSH 登录、HTTP 响应）卡住或超时；表现为“能连上但没响应”。常见于 VPN、VXLAN、PPPoE 和云网络。

快速定位

ip link show
ping -M do -s 1472 -c 3 10.0.0.10
tracepath 10.0.0.10
tcpdump -ni eth0 'icmp or tcp'
ss -ti

常见根因

1. 链路 MTU 小于 1500（PPPoE、VPN、隧道）。
2. VXLAN/GRE/IPsec 封装增加开销，未调整 MTU。
3. ICMP fragmentation needed 被防火墙丢弃，PMTUD 失效。
4. 容器/虚拟网络 MTU 与宿主机不一致。
5. 中间设备配置了错误的 MSS/MTU。

修复

• 用 ping -M do -s 逐步找到可通的最大包长。
• 调整接口 MTU（如隧道接口 1400/1450）。
• 放行 ICMP 类型 3/4，恢复 PMTUD。
• 在网关/防火墙配置 TCP MSS clamping。
• 容器 CNI 和云网络确认 MTU 一致。
• 修复后同时验证 TCP/UDP 和 TLS 大响应。

相关命令

• ping — MTU 探测
• ip — 接口 MTU
• tcpdump — 抓 ICMP/分片
• nft / iptables — MSS clamping