IPv6-Paket zu groß: Warum große VPN-Übertragungen hängen

Ping funktioniert, der Browser lädt eine kleine Seite, und die Dateiübertragung hängt — alles über IPv6 durch denselben Tunnel. Dieses Muster bedeutet meist, dass der Sender die tatsächliche Größe des Pfades nie gelernt hat, nicht dass der Tunnel langsam ist. IPv6 erwartet, dass Router das Problem mit einer Packet-Too-Big-Nachricht melden, und die Kapselung fügt zusätzlichen Overhead hinzu, bevor ein Paket überhaupt das äußere Netz erreicht. Wird diese Nachricht gefiltert, wiederholt der Sender weiter eine Größe, die nicht durchpasst.

Kleine Anfragen, große Stockungen

Ein Tunnel verpackt jedes Paket in einen weiteren Header, daher ist die nutzbare Größe innen kleiner als die Größe außen. Ein Paket, das vor der Kapselung für die physische Strecke bemessen war, wird danach zu groß. IPv4-Router dürfen unterwegs fragmentieren, IPv6-Router tun das nicht im Namen des Senders, also muss der Sender sich stattdessen anpassen. Und diese Anpassung hängt vollständig vom Empfang der Rückmeldung ab.

Eine einzige verlorene Nachricht genügt für das klassische Symptom: Handshakes und kleine Antworten gelingen, und eine Verzeichnisauflistung oder ein Upload hängt jedes Mal an derselben Stelle. Nutzer beschreiben es als langsames VPN, und die Protokolle zeigen nichts Falsches bei der Authentifizierung. Beide Beobachtungen stimmen, und keine von ihnen findet die Störung.

Packet Too Big ist eine Rückmeldung, kein Verkehr

Eine ICMPv6-Packet-Too-Big-Nachricht trägt die Größe, die der nächste Hop annehmen kann, und der Sender senkt damit seine Schätzung. Sie zu filtern ist, als würde man ein Verkehrsschild entfernen und dann die Fahrer beschuldigen. Eine Regel, die jedes ICMPv6 verwirft, wirkt streng und zerbricht doch die Pfaderkennung auf jeder Strecke, die sie braucht. Die Nachricht ist Steuerinformation über den Pfad, keine Anwendungsnutzlast.

Selektives Filtern ist weiterhin vernünftig. Echo-Anfragen und Nachbarerkennung spielen andere Rollen als Fehlermeldungen, und eine Richtlinie kann sie anders behandeln. Folgen Sie der dokumentierten Filterempfehlung der Plattform, statt das ganze Protokoll anzunehmen oder zu verwerfen, denn RFC 8201 legt fest, wie diese Rückmeldung die Erkennung steuert.

Testen Sie beide Adressfamilien getrennt

Testen Sie IPv6 für sich allein, denn eine erfolgreiche IPv4-Übertragung beweist nichts über den IPv6-Pfad. Erfassen Sie dann Kontrollnachrichten, während die große Übertragung hängt. Die beiden Aufzeichnungen zeigen zusammen entweder, dass die Rückmeldung hinausgeht, oder sie beweisen, dass sie nie ankam.

ping -6 -M do -s 1400 host.internal
ip -6 route get 2001:db8:2::10
sudo tcpdump -ni any 'icmp6 and ip6[40] == 2'

Die Sonde sendet ein Paket mit gesetztem Do-Not-Fragment-Bit und meldet die Größe, bei der es scheitert — die Zahl, die der Tunnel aufnehmen muss. Die Routenabfrage nennt die Schnittstelle, die das Ziel tragen würde, sodass Sie wissen, welche MTU der Strecke gilt. Die Aufzeichnung filtert ICMPv6 Typ 2, die Packet-Too-Big-Nachricht, und zeigt, ob sie diesen Host überhaupt erreicht. Erscheint die Nachricht in der Aufzeichnung und hängt die Übertragung weiter, ignoriert der Sender sie, was die Untersuchung in den Stack statt ins Netz verschiebt.

Ändern Sie die Tunnelgröße erst nach den Belegen

Die MTU des Tunnels zu senken kann eine gefilterte Nachricht verbergen und das Symptom verschwinden lassen, auf Kosten von mehr Overhead pro Paket. Das ist ein Workaround und keine Diagnose, und er sollte der Aufzeichnung folgen statt sie zu ersetzen. Ein willkürlich niedriger Wert bricht auch nichts sichtbar, deshalb überlebt er jahrelang in Konfigurationen. Ändern Sie ihn bewusst, halten Sie den Wert fest und notieren Sie, welche Messung ihn rechtfertigte.

Wenn Sie das Gateway steuern, prüfen Sie die Regel, die die Nachricht verwirft, statt die Firewall abzuschalten. Eine korrigierte Regel ist enger als eine Richtlinienausnahme und später viel leichter zu verteidigen. Dieselbe Überlegung gilt für Zeitlimits: Nicht jede Stockung ist ein Größenproblem, und die Aufzeichnung trennt beides.