分片为什么要单独处理
IP 报文超过出接口 MTU 时会被分片，只有首个分片携带 TCP/UDP 端口号，后续分片仅带偏移与长度。防火墙、IPS 的策略大多按端口和五元组匹配，非首片因缺少端口信息，可能被直接丢弃，也可能只按地址单独匹配。音视频、IPsec over NAT、组播类业务最容易触发分片，故障表现往往是「小包通、大包不通」。
基本信息
| 适用平台 | 华为 USG、H3C SecPath、深信服 AF 等中间设备 |
|---|---|
| 匹配特点 | 非首片无端口信息，设备可能仅按地址匹配或直接丢弃 |
| 相关能力 | 分片重组、分片缓存与超时、分片攻击防护 |
| 高发业务 | 音视频、IPsec over NAT、组播、大证书或大包交互 |
典型使用场景
- 音视频与流媒体：UDP 大包被分片，后续分片被策略丢弃，表现为能建立连接但花屏卡顿
- IPsec 与 GRE 隧道：封装后报文超出 MTU，且两端未做 TCP MSS 调整，隧道内应用大包不通
- 路径 MTU 不一致：小包 ping 正常、指定大包不通，是典型的 MTU 与分片问题特征
- 攻击检测：攻击者用分片规避特征匹配，需要设备重组后再做检测
- 容量评估：开启分片重组会明显增加内存与转发压力，扩容或改参数前先评估并发规模
排查步骤
排查步骤
1. 两端抓包，查看是否出现分片（IPv4 的 MF 标志与分片偏移字段）
2. 从两端用 ping 指定报文长度与 DF 标志，逐步缩小定位路径 MTU
3. 在设备上查分片处理相关计数与丢包日志
4. 确认策略是否覆盖分片流量，是否存在多余的拒绝动作
5. 必要时启用分片重组，或从两端调整 MTU 与 MSS 根治现象与处理方向
| 现象 | 常见原因 | 处理方向 |
|---|---|---|
| 小包正常、大包超时 | 路径 MTU 小于报文长度，非首片被丢 | 调整两端 MTU/MSS，或启用分片重组 |
| UDP 业务偶发花屏 | 分片部分丢失 | 核对丢片计数与链路质量 |
| 畸形分片告警 | 分片重叠、超长等异常构造 | 启用分片攻击防护并限制缓存 |
| 设备内存占用升高 | 分片重组缓存积压 | 限制单会话分片数与重组超时 |
开启分片重组会增加设备内存与转发压力，参数调整前评估并发会话规模；高吞吐边界设备优先在端侧解决 MTU 问题，而不是靠重组长期兜底。