MTU, Fragmentierung und warum dein WireGuard langsam ist

MTU (Maximum Transmission Unit) ist das größte Paket, in Bytes, das eine Netzwerkverbindung in einem Stück übertragen kann. Der Standard-MTU von Ethernet beträgt 1500. Wenn ein Paket zu groß für eine Verbindung ist, muss es in kleinere Teile fragmentiert oder verworfen werden.

Ein WireGuard-Tunnel umschließt jedes Ihrer Pakete in einem verschlüsselten UDP-Paket, und dieser Wrapper fügt Overhead hinzu – ungefähr 60 Bytes für IPv4 und 80 für IPv6. Ein vollständiges 1500-Byte-Paket aus Ihrer App wird also größer als 1500, sobald WireGuard es kapselt, und die zugrunde liegende Verbindung kann es nicht ganz übertragen. Deshalb setzt WireGuard standardmäßig die MTU seiner Schnittstelle auf 1420: Es lässt Spielraum für den Verschlüsselungs-Overhead, damit das gekapselte Paket weiterhin in einen 1500-Byte-Pfad passt.

Normalerweise, wenn ein Paket zu groß ist, um ohne Fragmentierung weitergeleitet zu werden, sendet ein Router eine ICMP "Fragmentierung benötigt"-Nachricht zurück und der Sender verringert die Paketgröße — das ist die Path MTU Discovery (PMTUD). Das Problem ist, dass viele Netzwerke und Firewalls diese ICMP-Nachrichten stillschweigend verwerfen. Wenn das passiert, haben Sie ein PMTU-Schwarzes Loch: kleine Pakete (wie der Anfang einer Seite) gehen durch, aber große Pakete werden stillschweigend verworfen, ohne einen Fehler anzuzeigen. Das Symptom ist unverkennbar — Verbindungen starten, dann hängen sie; SSH meldet sich an, friert aber bei der Ausgabe ein; einige Seiten laden und andere bleiben stehen; große Downloads bleiben bei 0% hängen.

Wenn Ihr Pfad eine niedrigere MTU hat als erwartet — was häufig bei DSL/PPPoE (das 8 Bytes hinzufügt), einigen Mobilfunknetzen und doppelt gekapselten Verbindungen der Fall ist — kann selbst WireGuards 1420 zu hoch sein, und Sie treffen auf das schwarze Loch. Die Lösung besteht darin, die MTU des Tunnels zu verringern, damit die gekapselten Pakete in den realen Pfad passen.