分片为什么会和 NAT 打架
IP 报文超过链路 MTU 时会被分片，而只有首片带完整传输层头部（端口信息），后续分片只剩偏移量与标识。NAT 转换与策略匹配都要靠端口，遇到没有端口的后续分片就缺少判断依据：不同设备处理方式不同，有的直接丢弃，有的按首片已建立的映射转发，业务表现就是时通时断、重传率升高。
基本信息
| 问题点 | 后续分片不含端口，匹配与转换依据不足 |
|---|---|
| 高发业务 | IPsec 隧道、音视频、组播、大报文传输 |
| 设备行为差异 | 有的丢弃非首片，有的放行并跳过策略检查 |
| 处理方向 | 启用分片重组，或从源头减少分片 |
| 代价 | 重组占用内存与 CPU，需评估并发规模 |
| 排查手段 | 两端抓包，配合设备分片与丢弃计数 |
典型使用场景
- 音视频或大文件传输随机失败、重传率高的排查
- IPsec 隧道业务偶发不通，怀疑与分片处理有关
- 启用分片重组前后评估设备资源占用变化
- 评估「放行全部分片」带来的策略绕过风险
- 业务上线前确认 MTU/MSS 调整是否已规避分片
排查动作
排查动作
1. 两端抓包确认是否真的存在分片报文 # 先确认现象
2. 查看设备的分片处理与丢弃计数 # 设备侧
3. 确认会话中分片流量是否被正确转换 # NAT 侧
4. 评估启用分片重组，或调整 MTU/MSS 减少分片 # 方案选择
5. 变更后业务侧复测重传率与失败率 # 效果验证分片处理方案对比
| 方案 | 优点 | 代价 |
|---|---|---|
| 启用分片重组 | 策略与 NAT 匹配完整 | 占用内存与 CPU，需评估并发规模 |
| 源头减少分片 | 不增加设备负担 | 需逐端调整 MTU/MSS，周期较长 |
| 放行全部分片 | 改动最小 | 绕过策略检查，扩大攻击面 |
先确认现象再改配置：抓包看到的分片与设备计数里的丢弃往往不是同一批流量，两个都看才能定位。
对分片一律放行等于让攻击者用伪造后续分片绕过检测，应优先选择重组或从源头减少分片。