VPN verbunden, große Übertragungen hängen: MTU prüfen

Kritische Situation: Über VPN antwortet der Server auf Ping und die Anmeldeseite öffnet sich, aber Uploads oder vollständiges Laden bleiben hängen. Das kann zu einem Paketgrößenproblem passen, beweist jedoch keinen MTU-Fehler. Paketverlust, Pfadbeschränkungen und die Anwendung kommen ebenfalls infrage.

Einen wiederholbaren Test wählen

Vergleichen Sie dieselbe Datei und dasselbe Ziel mit und ohne Tunnel. Erfassen Sie Zeit, Verbindungstyp und Ergebnis. Ziel ist nicht, durch mehrere gleichzeitige Änderungen zufällig den Dienst zu reparieren, sondern einen klaren, erneut prüfbaren Unterschied zu behalten.

Erste Prüfung unter Windows und IPv4

Das Beispiel verwendet eine Dokumentationsadresse, die so keine Antwort liefern muss. Ersetzen Sie sie durch ein autorisiertes, antwortendes Ziel im Tunnelpfad. Die DF-Option dieses Tests gilt für IPv4.

ping /4 /n 2 /f /l 1472 192.0.2.10
ping /4 /n 2 /f /l 1400 192.0.2.10
netsh interface ipv4 show subinterfaces

Bei IPv4 ohne zusätzliche Optionen werden zur Ping-Nutzlast normalerweise 28 Byte IP- und ICMP-Overhead addiert. Eine Nutzlast von 1472 Byte entspricht daher einem Paket von 1500 Byte. Die Zahl 1472 selbst ist nicht die MTU.

Eine ausdrückliche Meldung über notwendige Fragmentierung bei gleichzeitig erfolgreicher kleinerer Größe stärkt die Hypothese. Eine Zeitüberschreitung allein beweist sie nicht; ICMP kann unterwegs oder am Ziel gefiltert werden. Ein kleiner erfolgreicher Ping bestätigt auch nicht sämtliche TCP-Übertragungen.

Die Korrektur auf denselben Pfad begrenzen

Ermitteln Sie mit unterschiedlichen Größen die Erfolgsgrenze und notieren Sie den aktuellen Schnittstellenwert. Reichen die Belege, testen Sie Tunnel-MTU oder TCP-Pfad-MSS nach Produktdokumentation und nur im betroffenen Bereich. Ein Wert wie 1400 passt nicht zu jedem VPN; die Ping-Nutzlast darf nicht ungeprüft zur Schnittstellen-MTU werden.

Prüfen Sie außerdem funktionierendes PMTUD und die benötigten ICMP-Meldungen. Alle MTUs gleichzeitig zu ändern oder die gesamte Firewall zu öffnen liefert weder eine gute Diagnose noch einen klaren Rückweg. Scheitert die begrenzte Änderung, stellen Sie den alten Wert wieder her und prüfen die nächste Hypothese.

Maßstab ist die wiederholte echte Übertragung

Testen Sie dieselbe Datei, Anfrage und den Hin- und Rückweg mehrmals. Ein erfolgreicher Ping oder kurzer Transfer reicht nicht. Ich empfehle einen kleinen Übertragungstest für jeden wichtigen Tunnel, der nach Anbieter- oder Gerätewechseln wiederholt werden kann.

Die entscheidende Maßnahme: Paketgröße messen; ein verbundenes VPN beweist keinen gesunden Datenpfad.

Technische Quellen: Microsoft / Ping · RFC / PMTUD.