Blocage des paquets volumineux : résoudre les trous noirs PMTU et conflits MTU

Un grand classique du dépannage réseau : le ping répond parfaitement avec une latence minimale, mais dès qu'un utilisateur lance un transfert SCP volumineux ou une négociation TLS complexe, la session se fige et expire en timeout.

L'erreur fréquente consiste à modifier au hasard la valeur MTU sur les postes clients.

L'origine : le phénomène de trou noir PMTU

Le paquet Ethernet standard impose une MTU de 1500 octets. Dans un tunnel d'encapsulation (WireGuard, GRE, IPsec ou VXLAN), les en-têtes additionnels absorbent entre 20 et 80 octets. Si un pare-feu intermédiaire bloque les messages ICMP Type 3 Code 4 signalant la nécessité de fragmentation, les paquets surdimensionnés sont rejetés sans notification : c'est le trou noir PMTU.

Méthodologie de résolution

1. Évaluation précise avec un ping marqué "Don't Fragment".
2. Ajustement des valeurs du tunnel (1420 octets pour WireGuard, 1450 pour VXLAN standard).
3. Correction définitive : activation du MSS Clamping sur le routeur de bordure pour réécrire automatiquement les en-têtes SYN TCP à la volée.

Une intervention centralisée sur la passerelle sécurise l'ensemble des flux de manière pérenne.