| 触发场景 | IPsec/GRE 隧道 + NAT 叠加 |
|---|---|
| 表现 | 网页首屏卡、上传失败、SSH 登录后卡死 |
| 处理 | 设备侧限制 TCP MSS，或客户端侧调整 |
验证方法
验证方法
ping -M do -s 1400 目标地址 # Linux 不通则逐步减小
ping -f -l 1400 目标地址 # Windows改 MSS 后复测文件传输与视频等大包业务，确认问题真正消失。
NAT 场景的 MSS 与 MTU 注意点
NAT 与隧道叠加时封装开销增加，路径 MTU 变小；不做 MSS 调整时表现为小包通、大包断。
易错点
- 只调 NAT 设备 MSS、不检查中间 PPPoE/隧道设备，问题仍会复现
- 封 ICMP 会破坏 PMTUD 机制，隧道场景需放行必要 ICMP
数据来源与参考
- RFC 1191（路径 MTU 发现）
- 华为 USG6000 产品文档：TCP MSS