O ping da VPN funciona mas o site trava: verifique o tamanho

As respostas de eco chegam, a área de trabalho remota funciona e o navegador fica numa página em branco até desistir. Duas explicações cabem nesse padrão, e não são variações de um único problema: uma política que nunca permitiu o serviço, ou pacotes que deixam de caber quando a transferência cresce. A resposta de eco não descarta nenhuma das duas.

Vá da pergunta menor para a maior e anote o que cada passo realmente provou.

Uma resposta de eco responde a uma pergunta muito menor

Uma resposta de eco diz que a pilha IP do destino respondeu a uma requisição ICMP da sua origem. Ela não diz nada sobre existir um ouvinte TCP na porta de que você precisa, sobre uma política permitir essa porta ou sobre o host de destino filtrar o tráfego independentemente do gateway. Um gateway que permite um serviço pode derrubar outro enquanto ambos os alvos respondem ao ping. Leia a resposta como um único fato sobre um único pacote e uma única direção.

Confirme o destino e a porta do serviço antes de interpretar qualquer outra coisa. O endereço que você testou e o endereço que a aplicação usa às vezes são registros diferentes, e um nome que resolve para dois endereços torna isso provável.

Descubra se a conexão começou

Uma conexão recusada imediatamente é uma resposta do ouvinte ou da política: algo respondeu e disse não. Uma conexão que abre e depois trava quando os dados começam a se mover aponta para o tamanho. Uma conexão que nunca completa o handshake geralmente é política ou roteamento, e parece um tempo limite e não uma recusa.

curl -v --max-time 10 https://internal.example/ -o /dev/null
ss -tn state established '( dport = :443 )'

Anote qual dos três você observou antes de tocar nas configurações de MTU. Mudar o tamanho do túnel para consertar uma conexão recusada desperdiça a mudança e esconde a causa real por um tempo.

Meça o tamanho com um número declarado

Quando o travamento aparece sob carga, teste um tamanho de pacote com o bit de não fragmentar ativado e declare a aritmética para que o resultado signifique algo. No Linux com iputils, uma carga útil de 1392 bytes mais o cabeçalho ICMP de 8 bytes e o cabeçalho IPv4 de 20 bytes produz um pacote interno de exatamente 1420 bytes. Declare essa aritmética no ticket, porque um ping nu que chega ao gateway não prova nada sobre uma aplicação.

ping -4 -M do -s 1392 10.44.0.10
ping -4 -M do -s 1372 10.44.0.10

As duas sondas são pontos de medição, não recomendações de tamanho do túnel. Se o ICMP for filtrado em algum ponto do caminho, um tempo limite não diz nada sobre o tamanho, porque a filtragem e um pacote grande demais parecem iguais do lado do cliente. Um sucesso também não diz nada sobre a direção inversa nem sobre outro destino.

Conte com o caminho externo

O encapsulamento adiciona seus próprios cabeçalhos, então o pacote no fio é maior que o pacote que você mediu dentro do túnel. A diferença entre os dois é o que torna possível ao mesmo tempo uma requisição pequena que funciona e uma grande que falha.

A descoberta da MTU do caminho em IPv4 depende do retorno sobre pacotes que não podem ser encaminhados sem fragmentação, e o IPv6 usa mensagens Packet Too Big. A especificação IPv4 descreve esse mecanismo. Filtrar o retorno quebra a capacidade do emissor de aprender e o deixa retransmitindo pacotes que nunca caberão. É por isso que uma requisição pequena que funciona e uma grande que falha convivem tão confortavelmente.

Mude um número e teste a aplicação novamente

Baixe a MTU do túnel ou limite o tamanho máximo de segmento para TCP, e então repita o teste original da aplicação em vez da sonda. Uma sonda que tem sucesso após a mudança e uma aplicação que continua travando são um problema diferente com forma parecida, e só o teste da aplicação os distingue.

Mantenha a aritmética no registro da mudança: o tamanho medido, a sobrecarga que você supôs e o valor que definiu. Quem revisar isso depois poderá conferir a suposição em vez de deduzi-la de novo a partir de uma captura de tela de um ping.

Se a aplicação funciona em todos os tamanhos que você tentou, pare de ajustar números e olhe para a política que separa o serviço que funciona do que falha.