Las tramas jumbo no hacen que una ruta VPN transporte paquetes de 9000 bytes

Activaste tramas de 9000 bytes en la LAN y esperabas que la VPN fuera más rápida. Fue más lenta o dejó de pasar transferencias grandes por completo. Las tramas jumbo son un acuerdo de enlace local; no ensanchan el camino que cruza el túnel.

El presupuesto utilizable lo fija el límite más pequeño de la ruta, incluida la encapsulación que añade el túnel.

Qué cambian realmente las tramas jumbo

Una MTU es una propiedad de una interfaz. Subirla en un servidor y su conmutador significa que esos dos pueden intercambiar tramas mayores sin fragmentación. No dice nada del router más allá del conmutador, del ISP ni del otro extremo de un túnel. Esos dispositivos tienen sus propios límites, y un paquete que supera uno de ellos se descarta o se fragmenta según reglas que tú no fijaste.

Acuerdo local, consecuencias globales. Esa es toda la confusión.

El impuesto de encapsulación

Un túnel envuelve tu paquete dentro de otro. WireGuard sobre IPv4 UDP añade unos 60 bytes de sobrecarga; el modo UDP de OpenVPN está en el mismo rango, e IPsec varía según el modo y los algoritmos. Esos bytes salen del presupuesto del camino exterior, no de la nada.

Por tanto, un enlace exterior de 1500 bytes no puede llevar un paquete interior de 1500 bytes una vez añadida la cabecera del túnel.

Vale la pena hacer la aritmética una vez. En un camino de 1500 bytes, una interfaz WireGuard quiere una MTU de unos 1420 para que quepa el paquete encapsulado. Pon la interfaz interior en 9000 y cada paquete grande necesitará una fragmentación que el túnel no puede hacer, o se descartará.

Encuentra el enlace más pequeño del camino

Recorre la ruta y encuentra la MTU más baja. La LAN suele ser 1500 o 9000, la WAN suele ser 1500, y un enlace móvil o PPP puede ser aún menor. Luego resta la sobrecarga del túnel. Si el resultado es menor que la MTU de la interfaz interior, ya tienes tu respuesta. El descubrimiento de MTU de ruta puede encontrar esto automáticamente, pero solo cuando se dejan pasar los mensajes ICMP de los que depende.

El ICMP filtrado es la razón clásica por la que una transferencia grande se cuelga mientras las peticiones pequeñas funcionan bien.

Prueba la dependencia del tamaño sin ampliar el cambio

Usa una transferencia representativa y conserva los valores originales para poder restaurarlos. ping -M do -s 1472 prueba un paquete de 1500 bytes con el bit DF activado; reduce el tamaño hasta que pase. Si solo fallan los paquetes grandes, tienes un problema de tamaño y no de enrutamiento.

Cuidado con el offload del lado del host al leer capturas. El offload de segmentación puede mostrar tramas mucho mayores de lo que realmente cruzó el cable, lo que hace que un camino que funciona parezca roto y uno roto parezca correcto.

Cuándo una MTU grande es el diseño correcto

Una red privada controlada puede ejecutar legítimamente tramas mayores de extremo a extremo, siempre que todos los dispositivos del camino estén de acuerdo y se contabilice la sobrecarga del túnel. Eso es un diseño coordinado con un valor documentado por enlace, no un número grande escrito en un cliente.

Para una salida pública corriente, supón 1500 o menos y deja que el túnel elija una MTU interior segura. RFC 8201 cubre el descubrimiento de MTU de ruta para el caso IPv6 y es una referencia útil sobre cómo debería funcionar la realimentación.