Коротко по делу
Почему Connected не означает, что любой пакет пройдет
VPN инкапсулирует исходный трафик и добавляет собственный overhead. Если физический путь допускает пакет определенного максимального размера, внутренний пакет должен быть меньше, чтобы после добавления заголовков итоговый размер не превысил возможности пути. Когда это условие нарушается, нормальная сеть использует механизмы определения Path MTU или фрагментацию там, где она допустима.
Black-hole возникает, когда слишком крупный пакет отбрасывается, а информация о необходимости уменьшить размер не возвращается или блокируется. Туннель при этом может оставаться активным. Поэтому DNS и короткий HTTP-запрос работают, а загрузка тяжелой страницы, изображения или репозитория останавливается.
Как отличить MTU-проблему от DNS или обычного packet loss
Для MTU характерна зависимость от размера. Маленькие пакеты проходят стабильно, а после определенного размера появляются потери или зависание. DNS-проблема чаще проявляется до установления соединения с нужным адресом, а обычный packet loss обычно затрагивает пакеты разных размеров и дает более хаотичный профиль.
Сравните работу одного ресурса без VPN и с VPN, затем выполните тесты с контролируемым размером пакета и запретом фрагментации там, где система это поддерживает. Цель не найти «магическое MTU», а подтвердить, что уменьшение полезного размера последовательно устраняет симптом.
Исправляйте минимально необходимый слой
После подтверждения проблемы уменьшайте MTU VPN-интерфейса небольшими шагами или применяйте MSS clamping на контролируемом маршрутизаторе, если вы понимаете, где проходит TCP. Не задавайте случайное значение из чужого гайда для всех пользователей: PPPoE, мобильные сети, дополнительные туннели и разные протоколы имеют разный overhead.
После изменения повторите те же сайты, длительную загрузку и reconnect. Если уменьшение MTU не меняет симптом, вернитесь к исходному значению и продолжите диагностику DNS, IPv6 и маршрута. Это безопаснее, чем накапливать несколько сетевых workaround одновременно.
Продолжить чтение