MTU e MSS sui tunnel: niente più siti lenti o a metà

È il problema VPN più frequente e più sottovalutato: il tunnel "si connette" ma alcuni siti non caricano, gli upload si bloccano a metà, la VoIP gracchia. Quasi sempre è un problema di MTU: ogni protocollo di tunneling incapsula i pacchetti aggiungendo header, riducendo la dimensione utile del payload. Se un pacchetto pieno (1500 byte) entra in un tunnel che ne può portare 1420, va frammentato o scartato.

Perché succede (Path MTU Discovery rotto)

I sistemi usano PMTUD per scoprire la MTU del percorso: inviano pacchetti con flag "Don't Fragment" e si aspettano un messaggio ICMP "Fragmentation Needed" quando sono troppo grandi. Se un firewall lungo il percorso blocca l'ICMP (succede spesso), PMTUD fallisce in silenzio: il pacchetto grande viene scartato e basta. Risultato: l'handshake TCP passa (pacchetti piccoli) ma i trasferimenti grandi si bloccano ("black hole").

Overhead indicativo per protocollo

La soluzione regina: MSS clamping

Il MSS clamping riscrive l'opzione TCP MSS nei pacchetti SYN che attraversano il tunnel, forzando i due estremi a usare segmenti più piccoli — così non si genera mai un pacchetto troppo grande da frammentare. È la cura definitiva al "sito che non carica" perché agisce sul TCP a prescindere dal PMTUD.

# 'clamp-to-pmtu' calcola da solo l'MSS corretto in base alla MTU del tunnel.
# Applicalo al traffico che ENTRA o ESCE dalle interfacce tunnel.
/ip/firewall/mangle/add \
  chain=forward \
  protocol=tcp tcp-flags=syn \
  out-interface=wg-siteB \
  action=change-mss new-mss=clamp-to-pmtu \
  comment="MSS clamp uscita tunnel"

/ip/firewall/mangle/add \
  chain=forward \
  protocol=tcp tcp-flags=syn \
  in-interface=wg-siteB \
  action=change-mss new-mss=clamp-to-pmtu \
  comment="MSS clamp ingresso tunnel"

# Alternativa: forza un MSS preciso (es. WireGuard a 1380)
/ip/firewall/mangle/add \
  chain=forward \
  protocol=tcp tcp-flags=syn \
  tcp-mss=!0-1380 \
  out-interface=wg-siteB \
  action=change-mss new-mss=1380 \
  comment="MSS fisso 1380 sul tunnel WireGuard"

# Esempio: MTU coerente per WireGuard
/interface/wireguard/set wg-siteB mtu=1420

# Per GRE
/interface/gre/set gre-siteB mtu=1476

Diagnosi rapida

# Ping 'do-not-fragment' verso l'altro capo del tunnel.
# Riduci size finché non passa: quella + 28 (header IP+ICMP) = MTU utile.
/ping 10.255.255.2 size=1472 do-not-fragment count=3
/ping 10.255.255.2 size=1400 do-not-fragment count=3
/ping 10.255.255.2 size=1380 do-not-fragment count=3