Site icon bintorosoft.com

MTU-Probleme im VPN: Warum große Pakete scheitern

Red Snapper

Laptops around WIFI Router on a white background

MTU-Probleme im VPN gehören zu den frustrierendsten Fehlerbildern in der Praxis: Der Tunnel steht, Login klappt, manche Anwendungen funktionieren – und dennoch scheitern ausgerechnet „große Pakete“. Typische Symptome sind Webseiten, die nie vollständig laden, File-Transfers, die bei einem bestimmten Fortschritt hängen bleiben, Teams- oder Zoom-Verbindungen mit sporadischen Aussetzern oder Git-Operationen, die scheinbar zufällig abbrechen. Der Grund ist fast immer derselbe: Durch das VPN entsteht zusätzlicher Overhead, die effektive Paketgröße im Transportpfad wird kleiner, und wenn Path MTU Discovery (PMTUD) nicht sauber funktioniert, werden zu große Pakete fragmentiert oder – schlimmer – still verworfen. Das wirkt dann wie Paketverlust, DNS-Probleme oder „VPN ist langsam“, obwohl die Ursache in Wahrheit eine falsche MTU/MSS-Strategie ist. Dieser Artikel erklärt verständlich, warum große Pakete im VPN scheitern, wie MTU, MSS und PMTUD zusammenhängen und wie Sie MTU-Probleme sauber testen, lokalisieren und dauerhaft beheben – ohne Sicherheitskompromisse.

MTU einfach erklärt: Was ist das überhaupt?

MTU steht für Maximum Transmission Unit und beschreibt die maximale Größe eines IP-Pakets (genauer: die maximale Payload auf Layer 2), die ein Link ohne Fragmentierung übertragen kann. In klassischen Ethernet-Netzen ist die MTU häufig 1500 Byte. Sobald Pakete größer sind als die MTU eines Links, gibt es zwei Möglichkeiten:

In modernen Netzen ist „Fragmentierung irgendwo im Pfad“ jedoch oft unerwünscht oder technisch nicht zuverlässig. Deshalb soll der Sender idealerweise die passende Paketgröße kennen – und genau dafür existiert PMTUD.

Warum VPNs MTU-Probleme verursachen: Overhead macht Pakete größer

Ein VPN ist ein Tunnel: Ihr ursprüngliches Paket wird (je nach Protokoll) in ein neues Paket „eingepackt“ und zusätzlich verschlüsselt. Dabei kommen Header und ggf. Trailer hinzu. Das bedeutet: Selbst wenn das Originalpaket genau 1500 Byte groß war, kann das äußere (encapsulierte) Paket größer werden – und damit auf Links mit MTU 1500 scheitern.

Technische Grundlagen zu IPsec finden Sie in RFC 4301 (IPsec Architecture), IKEv2 in RFC 7296 und TLS 1.3 als Basis für TLS-VPNs in RFC 8446.

„Große Pakete scheitern“: Typische Symptome von MTU-Problemen im VPN

MTU-Probleme äußern sich oft nicht als klarer Fehler, sondern als „seltsame“ Instabilität. Besonders auffällig ist: Kleine Pakete funktionieren, größere nicht.

PMTUD: Warum Path MTU Discovery der Schlüssel ist

Damit Sender die richtige Paketgröße wählen, gibt es Path MTU Discovery. PMTUD versucht, die kleinste MTU auf dem gesamten Pfad zu ermitteln und die Paketgröße entsprechend anzupassen. Für IPv4 ist PMTUD in RFC 1191 beschrieben, für IPv6 in RFC 8201.

PMTUD bei IPv4: DF-Bit und ICMP „Fragmentation Needed“

Bei IPv4 setzt der Sender häufig das DF-Bit („Don’t Fragment“). Wenn ein Router im Pfad ein zu großes Paket sieht, verwirft er es und sendet eine ICMP-Meldung „Fragmentation Needed“ zurück. Der Sender reduziert daraufhin die Paketgröße. Dieses Verfahren scheitert in der Praxis oft, weil ICMP-Meldungen durch Firewalls oder Provider gefiltert werden.

PMTUD bei IPv6: Fragmentierung durch Router ist nicht vorgesehen

Bei IPv6 fragmentieren Router nicht. Das macht PMTUD dort noch wichtiger: Wenn die notwendige Information nicht zurückkommt, werden zu große Pakete verworfen. Deshalb sind IPv6-MTU-Probleme im VPN besonders „hart“ sichtbar.

Der häufigste Fehler: ICMP „blocken“ und PMTUD zerstören

In vielen Umgebungen ist „ICMP blocken“ eine alte Gewohnheit. Für MTU/PMTUD ist das jedoch gefährlich. Wenn ICMP-Fehlermeldungen, die für PMTUD relevant sind, nicht durchkommen, kann der Sender die Paketgröße nicht anpassen. Das Ergebnis sind stille Drops und Timeouts.

MSS statt MTU: Warum TCP oft die bessere Stellschraube ist

Während MTU die maximale IP-Paketgröße betrifft, ist MSS (Maximum Segment Size) ein TCP-Parameter. MSS bestimmt, wie groß ein TCP-Segment sein darf (Payload innerhalb TCP). In vielen VPN-Umgebungen ist es einfacher, MSS zu kontrollieren, weil:

MSS-Clamping: Der Praxisstandard gegen MTU-Probleme

MSS-Clamping bedeutet, dass das Gateway die MSS in TCP-SYN-Paketen reduziert. Dadurch senden Endgeräte automatisch kleinere Segmente, die auch mit Tunnel-Overhead noch in die effektive MTU passen. MSS-Clamping ist eine der zuverlässigsten Maßnahmen, weil sie PMTUD-Probleme oft umgeht.

Wo MTU-Probleme im VPN entstehen: Die häufigsten „MTU-Fallen“

MTU-Probleme sind selten „einfach nur VPN“. Meist kommen mehrere Faktoren zusammen:

Diagnose: So testen Sie MTU-Probleme reproduzierbar

Das Ziel im Troubleshooting ist, die maximale nutzbare Paketgröße zu bestimmen und herauszufinden, wo sie scheitert. Wichtig: Testen Sie sowohl ohne VPN als auch mit VPN und vergleichen Sie.

Schritt 1: Baseline ohne VPN

Schritt 2: Mit VPN zum Testhost hinter dem Tunnel

Schritt 3: Packet Capture zur Bestätigung

Wenn möglich, nutzen Sie Wireshark/tcpdump. Indikatoren für MTU-Probleme sind:

Behebung: Welche Maßnahmen wirken in der Praxis am zuverlässigsten?

Es gibt nicht „die eine“ Lösung, aber diese Reihenfolge funktioniert in vielen Umgebungen sehr gut.

1) MSS-Clamping aktivieren

2) Tunnel-MTU bewusst setzen

3) PMTUD ermöglichen: ICMP gezielt zulassen

4) IPv6-Strategie klären

5) Overhead reduzieren, wo möglich

MTU-Probleme vs. Paketverlust: So unterscheiden Sie beides

MTU-Probleme wirken wie Paketverlust – aber nicht jede Loss-Rate ist MTU. Ein einfacher Praxisunterschied:

Wenn Sie z. B. kleine Pings stabil durchbekommen, aber größere Pings oder große TCP-Segmente „hängen“, ist MTU/MSS sehr wahrscheinlich.

Warum MTU-Probleme besonders oft bei Remote Work auftreten

Homeoffice und mobile Netze erhöhen die Varianz der MTU: PPPoE, Consumer-Router, Mesh-Systeme, Mobilfunk, Hotel-WLANs und restriktive Firewalls sind eine Mischung, in der PMTUD häufig scheitert. Deshalb ist eine robuste MTU/MSS-Strategie gerade bei Remote Access essenziell – idealerweise mit MSS-Clamping als Standard und klaren Testszenarien.

Best Practices: MTU-Probleme dauerhaft vermeiden

Häufige Fehler bei der MTU-Fehlerbehebung

Weiterführende Quellen (Outbound-Links)

Cisco Netzwerkdesign, CCNA Support & Packet Tracer Projekte

Cisco Networking • CCNA • Packet Tracer • Network Configuration

Ich biete professionelle Unterstützung im Bereich Cisco Computer Networking, einschließlich CCNA-relevanter Konfigurationen, Netzwerkdesign und komplexer Packet-Tracer-Projekte. Die Lösungen werden praxisnah, strukturiert und nach aktuellen Netzwerkstandards umgesetzt.

Diese Dienstleistung eignet sich für Unternehmen, IT-Teams, Studierende sowie angehende CCNA-Kandidaten, die fundierte Netzwerkstrukturen planen oder bestehende Infrastrukturen optimieren möchten. Finden Sie mich auf Fiverr.

Leistungsumfang:

Lieferumfang:

Arbeitsweise:Strukturiert • Praxisorientiert • Zuverlässig • Technisch fundiert

CTA:
Benötigen Sie professionelle Unterstützung im Cisco Networking oder für ein CCNA-Projekt?
Kontaktieren Sie mich gerne für eine Projektanfrage oder ein unverbindliches Gespräch. Finden Sie mich auf Fiverr.

 

Exit mobile version