大包静默丢弃排查：破解 MTU 不匹配与 PMTU 黑洞现象

网络工程师经常遇到的一种经典故障：两端之间 Ping 探测完全通畅且延迟极低，但一旦发起 SSH 认证会话、大文件 SCP 传输或大型 TLS 握手，连接便会毫无预警地挂起直至超时断开。

此时盲目下调所有终端网卡的 MTU 或怀疑物理线路质量是典型的误诊。

根本病因：路径 MTU（PMTU）黑洞

标准以太网帧的 MTU 为 1500 字节。当流量进入 WireGuard、GRE 或 VXLAN 等封装隧道时，隧道头部会额外挤占 20 至 80 字节载荷。

主机默认带有“不可分片”（DF）标志。如果途经的防火墙阻断了 ICMP Type 3 Code 4（需要分片但设置了 DF）的控制报文，发送端将无法获悉路径瓶颈，导致超额报文被中间网关无声丢弃，形成 PMTU 黑洞。

3 步精准诊断与根除

1. 带 DF 标记探测： 在客户端运行 ping IP -f -l 1472（Windows）或 ping -M do -s 1472 IP（Linux），逐步递减数值直至正常连通。
2. 核算封装开销： WireGuard 建议配置 1420，标准 VXLAN 在未启用巨型帧时应设为 1450。
3. 边界生效的最佳解法： 在隧道入口网关或防火墙启用 TCP MSS Clamping，动态重写 TCP SYN 握手中的最大报文段长度，一举解决全网所有主机的通信瓶颈。