Berechnet genau, wie viele Bytes jeder Tunnel- oder Kapselungs-Layer deiner MTU raubt — und welche MSS deine TCP-Sitzungen tatsächlich erhalten.
Warum. Eine Standard-Ethernet-MTU ist 1500 Bytes. Bei gestapelten Tunneln (GRE, VXLAN, WireGuard, IPSec) verbraucht jede Schicht Header-Bytes. Das innere TCP glaubt, MSS = 1460 zu haben, aber der äußere Frame übersteigt bereits die Pfad-MTU — Pakete werden fragmentiert oder bei gesetztem DF still verworfen. PMTU-Löcher sind eine häufige Ursache für „merkwürdige, intermittierende" Verbindungsprobleme auf SD-WAN, k8s-CNI-Overlays und IPSec-VPNs.
Wie. Von der Schnittstellen-MTU wird jeder Kapselungs-Overhead in Reihenfolge (von außen nach innen) abgezogen. Der Rest ist die MTU für das innere IP-Paket. Abzüglich IP-Header (20 IPv4, 40 IPv6) und TCP-Header (20 Standard) = effektive MSS.
Overhead-Tabelle (pro Schicht, aus RFCs): VLAN 802.1Q = 4 B · Q-in-Q = 8 B · PPPoE = 8 B · GRE = 4 B (min) · VXLAN = 8 B · Geneve = 8 B · WireGuard = 80 B (IPv4) / 100 B (IPv6) · IPSec ESP ≈ 55 B (Transport AES-GCM) / ≈ 75 B (Tunnel).
Diagnose: Overhead pro Schicht und gesamt, verbleibende MTU, effektive MSS, exakte DF-Paketgröße für ping -M do -s <n>, Warnung bei MSS < 1360.
Tipps. WireGuard: Schnittstellen-MTU = Außen − 80 (IPv4). VXLAN im DC: Overlay-MTU 1450 bei Underlay 1500.