Ist ein kleineres VPN-MTU schneller? Vergleichen Sie die tatsächlichen Belege

Ein Tunnel verwirft große Übertragungen, lässt aber Pings durch, also kommt der Rat schnell: Senken Sie das MTU. Die Reparatur funktioniert manchmal, und dann wird sie auf jedes Profil in jedem Netzwerk angewendet. Genau dort wird aus einer gezielten Reparatur eine dauerhafte Leistungssteuer. Der Vergleich, der zu ziehen ist, liegt zwischen der tatsächlichen Grenze des Pfades und den Kosten, jedes Paket darunter zu verkleinern.

Was tatsächlich schrumpft, wenn Sie das MTU senken

Jedes Paket trägt Header, bevor es Ihre Daten trägt. Auf einem Ethernet-Pfad mit 1500 Byte verbrauchen IPv4 und TCP 40 Byte und lassen 1460 für die Nutzlast; die Kapselung fügt außen IP-, UDP- und Tunnel-Header hinzu, sodass das innere Nutzlastbudget erneut sinkt. Ein niedrigeres Schnittstellen-MTU verkleinert dieses Budget absichtlich.

Die Kosten sind proportional zur Anzahl der Pakete, nicht zur Anzahl der Bytes. Dieselbe Datei in mehr Paketen braucht mehr Interrupts, mehr Routing-Entscheidungen und mehr Verarbeitung pro Paket auf jedem Gerät entlang des Pfades. Auf einem Router, der bereits nahe an seinem Paket-pro-Sekunde-Limit ist, ist das eine echte Verlangsamung und kein Rundungsfehler. Die Kosten zeigen sich selbst dann, wenn die Übertragung gelingt.

Deshalb ist ein kleineres MTU ein Umweg um eine Einschränkung, keine allgemeine Optimierung. Es kauft Zuverlässigkeit gegenüber einem Pfad, der den größeren Frame nicht tragen kann, und es berechnet Overhead für jedes Paket, das die Verkleinerung nicht brauchte.

Wann ein kleineres MTU die richtige Reparatur ist

Das klassische Symptom ist konkret: der TCP-Handshake schließt ab, kleine Antworten kommen an, und ein großer Download stockt oder wird zurückgesetzt. Ein Ping mit dem Don’t-Fragment-Bit bei 1472 Byte scheitert, während ein Ping mit 1400 Byte gelingt, was auf einen Pfad deutet, der kein Paket voller Größe tragen kann und die ICMP-Nachricht nicht zustellt, die dem Sender sagen würde, er solle verkleinern.

Die Pfad-MTU-Erkennung hängt von diesen ICMP-Nachrichten über die erforderliche Fragmentierung ab. Wenn eine Firewall sie verwirft, wiederholt der Sender das große Paket immer wieder, und die Verbindung scheint zu hängen. Ein niedrigeres MTU auf der Tunnelseite vermeidet die Wiederholung, und das ist eine legitime Reparatur für dieses Netzwerk.

Auch Zugangstechnologien setzen eigene Grenzen: PPPoE endet üblicherweise bei 1492, manche Mobilfunk- und DSL-Pfade liegen niedriger, und verschachtelte Tunnel ziehen den Overhead zweimal ab. Messen Sie den tatsächlichen Pfad, statt eine Zahl aus einer Anleitung zu kopieren, und denken Sie daran, dass IPv6 mindestens 1280 Byte MTU auf jeder Verbindung verlangt, die es trägt, wie RFC 8200 festlegt.

Vergleichen Sie die drei Stellschrauben, bevor Sie eine ändern

MTU, MSS und Fragmentierung sind verschiedene Stellschrauben auf verschiedenen Ebenen, und die falsche zu ändern lässt das Symptom bestehen.

Eine MSS-Begrenzung ist oft die am wenigsten invasive Reparatur, weil sie nur TCP betrifft und die Schnittstelle für anderen Verkehr frei lässt. Ein niedrigeres Schnittstellen-MTU ist breiter und leichter zu durchdenken, weshalb es auf Consumer-Routern üblich ist, aber es berechnet jedem Protokoll das Problem eines Protokolls.

Das Don’t-Fragment-Verhalten abzuschalten verdeckt das Symptom, indem es Fragmentierung erlaubt, und verschlechtert meist die Latenz, während es die Rückmeldung bricht, die die richtige Größe gefunden hätte. Vermeiden Sie es als dauerhafte Lösung.

Messen Sie den Kompromiss statt einer Zahl

Finden Sie die Pfadgrenze mit einer Don’t-Fragment-Sonde, beginnen Sie hoch und senken Sie schrittweise, bis die Antwort ankommt:

ping -M do -s 1472 203.0.113.10
ping -M do -s 1400 203.0.113.10
tracepath 203.0.113.10

Vergleichen Sie dann die reale Aufgabe mit beiden Einstellungen: dieselbe Dateiübertragung, derselbe Endpunkt und dasselbe Netzwerk. Notieren Sie Abschlusszeit und Neuübertragungen, etwa mit nstat -az TcpRetransSegs, und beobachten Sie die CPU des Geräts, wenn der Tunnel auf einem kleinen Router endet. Ein kurzer synthetischer Durchsatztest kann den Stillstand verfehlen, der erst nach mehreren Megabyte auftritt.

Die Paketzähler steigen nach einer Verringerung, weil dieselbe Übertragung nun mehr Pakete nutzt. Das ist zu erwarten und kein Beleg für höheren Durchsatz. Vergleichen Sie abgeschlossene Anwendungsdaten, die Zahl der Neuübertragungen und die Reaktionsfähigkeit, nicht nur die Paketrate.

Führen Sie die Änderung schrittweise ein und halten Sie sie begrenzt

Notieren Sie den ursprünglichen Wert, ändern Sie eine Stellschraube und wiederholen Sie die Messung, bevor Sie sie dauerhaft machen. Zeigen die Belege keinen Nutzen, stellen Sie den vorherigen Wert mit demselben Schnittstellenbefehl wieder her, mit dem Sie ihn gesetzt haben:

ip link set dev wg0 mtu 1420
ip link set dev wg0 mtu 1500

Begrenzen Sie das Ergebnis auf das Netzwerk, das es brauchte. Ein Profil, das in einem Hotel-Wi-Fi, an einem mobilen Hotspot und in einem Büro-LAN funktionieren muss, sollte nicht den niedrigsten Wert erben, den eines davon verlangt, es sei denn, der Client kann den Pfad nicht erkennen.

Der richtige Wert ist das größte MTU, das den Pfad übersteht, nicht das kleinste, das das Symptom verschwinden lässt. Dokumentieren Sie Pfad, Sondenergebnis und Rücknahme, und überprüfen Sie die Einstellung, wenn sich das Zugangsnetz ändert.