| 原因 | IPsec 封装使有效载荷超过路径 MTU |
|---|---|
| 症状 | 小包通、大包丢；SSH 卡顿、网页半开 |
| 验证 | 用不允许分片的 ping 探测临界字节数 |
| 处理 | 下调 MTU 或钳制 MSS（按设备支持） |
探测路径 MTU 临界值（Linux）
探测路径 MTU 临界值（Linux）
ping -M do -s 1400 -c 2 10.0.0.1
# 从较大字节数逐步下调，找到仍能通过的值只调整隧道一侧有时不生效：MTU 问题通常需要两端一起处理，并验证双向大包传输。
本包目录（247 条）
VPC 与子网36 条公网接入46 条负载均衡54 条云 DNS 与 CDN49 条
连接与专线41 条
- 站点到站点 IPsec VPN 概览
- 专线接入（物理专线）概览
- 云企业网 CEN 概览
- 组网方式选型对比
- 感兴趣流（本端/对端网段）
- IKEv1 与 IKEv2 的选择
- 隧道已建但业务不通的排查
- IKE 阶段一参数（IKE SA）
- VPN 双隧道与主备冗余
- IPsec SA 协商失败排查
- IPsec 阶段二参数（IPsec SA）
- SSL VPN（客户端远程接入）
- 网络实例挂载与路由学习
- 混合云专线加 VPN 备份设计
- VPN 隧道上运行 BGP
- IPsec 隧道的 MTU 与 MSS 问题
- 专线路由配置要点
- 双专线冗余设计
- 专线不通的分层排查
- 云企业网路由策略与优先级
- 腾讯云云联网 CCN 配置要点
- 预共享密钥（PSK）管理
- 用户网关/对端网关登记
- 虚拟边界路由器 VBR
- 专线 BGP 邻居配置
- 跨地域带宽与计费模式
- 专线接入 CEN 的组网方式
- 混合云链路监控与拨测
- 策略型与路由型 VPN
- VPN 网关带宽规格与限速
- 专线网关与 VPC 关联
- BFD 与专线快速故障切换
- 跨账号组网与授权
- 转发路由器与集中式组网版本选择
- 专线申请与 LOA 授权函
- 专线带宽规划与升配
- 华为云企业路由器 ER 组网
- 独享端口与共享端口
- 专线计费构成
- 混合云切换演练
- 智能接入网关 SAG
IPsec 隧道的 MTU 与 MSS 问题
隧道封装引入额外头部开销，路径 MTU 不匹配时大包被丢弃或分片：典型症状是 ping 通、小文件正常，大传输卡住。处理方式：调整隧道接口 MTU，或在设备上做 TCP MSS 钳制。
易错点
- 误判为丢包或带宽不足，忽略 MTU
- 只在单侧调整，问题依旧存在
数据来源与参考
- 阿里云 VPN 常见问题（MTU 与分片）
- 华为云 IPsec 分片说明