MTU及VPN技术中的MTU问题
【问题简述】
在VPN技术中经常遇到隧道已经建立但是某些应用程序无法正常通讯的问题，一般所来是由于路径MTU不匹配的缘故，下面就其中的数据传输流程做一些分析，以说明遇到出现此类问题该如何解决。
【问题分析】
先从一个实验说起
实验拓扑如下：
PC1-------VPN网关1―――――VPN网关2--------PC2
在上述组网中，VPN网关1和2之间建立了一条GRE隧道，PC1与PC2通过该GRE隧道互访。
这时，我们会发现，PC1在ping 1448的报文时，在PC2上抓包发现没有被分片，而ping 1449时，PC2上会发现PC1过来的报文已经被分片了。为什么呢？
PC1出来的IP报文长度为1448＋8（ICMP报头长）＋20（IP报头长），到达VPN网关1，VPN网关1发到GRE隧道口，封装GRE头（4字节），再加上外层IP头，到达VPN网关外层以太口，这时IP报文的长度已经变为：1448＋8＋20＋4＋20＝1500字节，刚好等于以太口的MTU，于是被顺利传送。而ping 1449时，到达外层以太口为1501字节，超出了1500的MTU，又因为报文DF位未置1，即可以分片，VPN网关于是将该报文分片发送出去。这就是我们所看到的现象。
在上述实验中，由于应用程序是ping，所以报文可以被分片，因此互通没有问题。但是如果是WEB访问等应用，则有些报文是不允许分片的，这样在外层以太口就会将超过1500的报文丢掉，导致无法通讯。
从上述实验可以看到，由于VPN会额外加入一些报文头，如果通讯双方的MTU不能随之改变的话，就容易产生不通的问题。
下面以HTTP为例，说明为何产生此问题并如何解决。
先看看HTTP为何无法像ICMP那样自动分片通讯。
假设PC1/2建立了HTTP连接后，PC2希望从PC1下载一个大的网页。PC2开始发送，其IP的DF位置1，不允许分片，IP报文长度为1500字节。到达VPN网关1的外网口后，VPN网关1发现其长度超过了1500个字节，于是将其丢弃，并给PC1发回一个目的地址不可达的ICMP信息，出错代码为”Fragmentation needed”，表示需要分片，但不允许分片，同时给出”MTU of next hop: 1500”。PC1接收到该消息后，又按照1500字节对外发送，又被丢弃，于是就形成了循环，无法通讯。
根据上述的分析，很容易得到如下解决方式，在VPN网关1的出接口设置MTU为1500－4－20＝1476，这样VPN网关1返回ICMP不可达消息时将给出”MTU of next hop: 1476”。PC2将以1476作为自己的最大MTU对外发送，到达VPN网关1，封装GRE和外层IP头后就不会超过1500而顺利发到对端。
这时仅解决了下载的问题，如果PC2需要将大文件上传到PC1，同样需要设置VPN网关2的出接口MTU值小于1476。
当然，还可以更改VPN网关1的出接口的TCP MSS数值，将其更改为1500-4-20-20（TCP头）=1456字节，也可保证HTTP等TCP应用顺利通过。但该情况仅适用于TCP应用。
上述解决方式同样适用于其他隧道技术，在L2TP、IPSEC等应用时可以相应的根据其包头数值设置MTU或MSS。
mtu
概念
通信术语 最大传输单元（Maximum Transmission Unit，MTU）是指一种通信协议的某一层上面所能通过的最大数据报大小（以字节为单位）。最大传输单元这个参数通常与通信接口有关（网络接口卡、串口等）。
详细解释
  因特网协议允许IP分片，这样就可以将数据报分成足够小的片段以通过那些最大传输单元小于该数据报原始大小的链路了。这一分片过程发生在IP层（OSI模型的第三层，即网络层），它使用的是将分组发送到链路上的网络接口的最大传输单元的值。原始分组的分片都被加上了标记，这样目的主机的IP层就能将分组重组成原始的数据报了。
  在因特网协议中，一条因特网传输路径的“路径最大传输单元”被定义为从源地址到目的地址所经过“路径”上的所有IP跳的最大传输单元的最小值。或者从另外一个角度来看，就是无需进一步分片就能穿过这条“路径”的最大传输单元的最大值。
  RFC 1191描述了“路径最大传输单元发现方法”，这是一种确定两个IP主机之间路径最大传输单元的技术，其目的是为了避免IP分片。在这项技术中，源地址将数据报的DF（Don't Fragment，不要分片）位置位，再逐渐增大发送的数据报的大小——路径上任何需要将分组进行分片的设备都会将这种数据报丢弃并返回一个“数据报过大”的ICMP响应到源地址——这样，源主机就“学习”到了不用进行分片就能通过这条路径的最大的最大传输单元了。
  不幸的是，越来越多的网络封杀了ICMP的传输（譬如说为了防范DDOS攻击）——这使得路径最大传输单元发现方法不能正常工作，其常见表现就是一个连接在低数据流量的情况下可以正常工作，但一旦有大量数据同时发送，就会立即挂起（例如在使用IRC的时候，客户会发现在发送了一个禁止IP欺骗的ping之后就得不到任何响应了，这是因为该连接被大量的欢迎消息堵塞了）。而且，在一个使用因特网协议的网络中，从源地址到目的地址的“路径”常常会为了响应各种各样的事件（负载均衡、拥塞、断电等等）而被动态地修改——这可
能导致路径最大传输单元在传输过程中发生改变——有时甚至是反复的改变。其结果是，在主机寻新的可以安全工作的最大传输单元的同时，更多的分组被丢失掉了。
  对于时下大多数使用以太网的局域网来说，最大传输单元的值是1500字节。但是像PPPoE这样的系统会减小这个数值，这就使得在使用最大传输单元发现方法时可能会产生这样的结果：一些处于配置不当的防火墙之后的站点变得不可达了。对于这种情况，还是可能到变通的方法的，但这取决于你控制的是网络的哪一部分。这些方法包括改变用来在防火墙一端建立TCP连接的第一个分组的MSS（Maximum Segment Size，最大分段大小）。
  对于一些支持老版本以太网协议的IBM系统（例如XSeries），可能只有在把最大传输单元设为1492之后才能在当下常见的局域网上进行运作。
如何检测网关的MTU
  在本机打开dos窗口，执行： ping -f -l 1472 192.168.0.1 其中192.168.0.1是网关IP地址，1472是数据包的长度。请注意，上面的参数是“-l”（小写的L），而不是“-1”。 如果能ping通，表示数据包不需要拆包，可以通过网关发送出去。 如果出现： Packet needs to be frag
mented but DF set. 表示数据包需要拆开来发送。此时，减少数据包长度，再执行上面的ping命令。从1400到1472之间多试几次，就能到合适的数据包长度了。把数据包长度加上数据包头28字节，就得到MTU的值。 如果检测到网关的MTU值是1500，不需要修改。 如果网关有防火墙ping不通，可以试试直接把MTU设为1400。
如何修改本机的MTU
  修改方法如下：
  Windows平台下
  1、运行regedit
  2、打开：HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters\Interfaces
  3、Interfaces下有多个子项，每个子项对应一个网卡。请按如下方法选择网卡：
  A、确定本机用来连接Internet的网卡或拨号连接的IP，如192.168.0.19；
  B、用鼠标点击Interfaces上的子项，查看键值列表中的IPAddress项；
  C、如果IPAddress的键值与A中的IP相同，即192.168.0.19，则该子项就是要的网卡。
tcpip协议在设计时就考虑了如何解决安全问题
  4、进入该子项，在右边的窗口里按鼠标右键，选择“新建”->“DWORD 值”，输入名称“MTU”，按回车。再用鼠标双击“MTU”，弹出修改窗口，填入MTU的值（一般为十进制的1480）。
  填写前请先把基数设为十进制。 设置好后，需要重启机器才能生效。
  Windows 7（XP、Vista未实测）
  1、使用管理员权限运行cmd
  2、使用netsh interface ipv4 show subinterfaces命令看看MTU以及本地连接名称。
  3、使用netsh interface ipv4 set subinterface "连接名" mtu=300 store=persistent
  （注：这里的连接名是你使用上面命令看到的MTU值对应的这个连接名，他在右边显示。）
  附：1、此方法不用重启；2、如是ipv6就将上面的ipv4改成ipv6
  Linux下可使用如下命令修改 需要root权限
  ifconfig 网卡 MTU值
  如 ifconfig eth0 mtu 1460
MaxMTU是最大的TCP/IP传输单元，在TCP/IP协议中，将要传输的数据分成较小的组进行传输，每个组的大小为576字节。Windows默认的字节为1500，这是以太网的分组标准。ADSL使用的 PPPoE略小于这个数值，一般为1492。而某些网站采用的MaxMTU大于1492，所以，可能导致某些网页不能访问。修改Windows默认的MaxMTU可以解决这个问题。不论是 PC机上安装的PPPoE软件或者是内置在Modem的 PPPoE软件，在使用中都有可能遇到这个问题。 如果使用路由器出现此种情况, 请在 防火墙配置 => 基本设定 里, 将MTU改为手工, 设置为 1492 即可. 那如何确定路由器从ISP获得的 MTU 为 1500, 请见附件
圈出的位置.
MSS（Maxitum Segment Size）最大传输大小的缩写，是TCP协议里面的一个概念。MSS就是TCP数据包每次能够传输的最大数据分段。为了达到最佳的传输效能TCP协议在建立连接的时候通常要协商双方的MSS值，这个值TCP协议在实现的时候往往用MTU值代替（需要减去IP数据包包头的大小20Bytes和TCP数据段的包头20Bytes）所以往往MSS为1460。通讯双方会根据双方提供的MSS值得最小值确定为这次连接的最大MSS值。
MSS: Maximum Segment Size 最大分段大小
  MSS最大传输大小的缩写，是TCP协议里面的一个概念。
  MSS就是TCP数据包每次能够传输的最大数据分段。为了达到最佳的传输效能
  TCP协议在建立连接的时候通常要协商双方的MSS值，这个值TCP协议在实现的
  时候往往用MTU值代替（需要减去IP数据包包头的大小20Bytes和TCP数据段的
  包头20Bytes）所以往往MSS为1460。通讯双方会根据双方提供的MSS值得最小
  值确定为这次连接的最大MSS值。
  注：最大报文段长度MSS这个名词很容易引起误解。MSS是TCP报文段中的数据字段的最大长度。数据字段加上TCP商务部才等于整个的TCP报文段。所以MSS并不是TCP报文段的最大长度，而是：MSS=TCP报文段长度-TCP首部长度。

版权声明：本站内容均来自互联网，仅供演示用，请勿用于商业和其他非法用途。如果侵犯了您的权益请与我们联系QQ:729038198，我们将在24小时内删除。