Mit aktivem VPN hängen manche Seiten, andere gehen? Der Tunnel verkleinert die Paketgröße — zu große Pakete gehen verloren, wenn ICMP blockt.
Aufwand:
ca. 25 Min.
Voraussetzung:
Zugang zur Router-Oberfläche
Das Symptom
Sobald das VPN aktiv ist, verhalten sich Webseiten seltsam: Die meisten laden
normal, aber einige bleiben mitten im Aufbau hängen, Downloads brechen ab, oder
große Seiten kommen nie zu Ende. Ohne VPN funktioniert alles einwandfrei, was das
VPN verdächtig macht.
Die „Layer 8“-Wahrheit
Ein VPN steckt jedes Datenpaket in einen zusätzlichen Umschlag, um es zu
verschlüsseln und zu tunneln. Dieser Umschlag braucht Platz — und der geht von der
nutzbaren Paketgröße ab, der MTU. Pakete, die vorher gerade noch durchpassten, sind
mit dem VPN-Umschlag plötzlich zu groß. Normalerweise ist das kein Problem: Das Netz
schickt eine kleine Rückmeldung, das Paket sei zu groß, und die Größe wird angepasst.
Genau diese Rückmeldung läuft über ICMP — und ICMP wird von vielen Netzen und
Firewalls blockiert.
Damit schließt sich die Falle: Das zu große Paket wird verworfen, aber niemand
erfährt davon, weil die Warnung nie ankommt. Die Verbindung hängt einfach, ohne
Fehler. Deshalb betrifft es ausgerechnet die großen Seiten und Downloads, die auf
volle Paketgröße setzen, während kleine Anfragen durchflutschen. Die Lösung ist,
dem Tunnel von vornherein eine kleinere Paketgröße zu geben — über eine gesenkte MTU
oder das automatische MSS-Clamping —, damit gar nichts erst zu groß wird und auf die
verschluckte Warnung angewiesen ist.
Die echte, verifizierte Lösung
1000 % faktenbasiert. Jeder Befehl ist real, jeder Pfad existiert. Schritt für Schritt:
1.
Das selektive Hängen deuten
Wenn mit aktivem VPN manche Seiten normal laden und andere endlos hängen — oft ausgerechnet die mit großen Inhalten —, ist die Paketgröße ein Hauptverdächtiger. Der VPN-Tunnel verpackt jedes Paket zusätzlich und verkleinert dadurch die nutzbare Größe (MTU). Zu große Pakete passen nicht mehr durch.
2.
Das ICMP-Problem verstehen
Normalerweise meldet das Netz mit einer kleinen ICMP-Nachricht zurück, dass ein Paket zu groß war, und die Größe wird angepasst. Ist ICMP unterwegs blockiert, kommt diese Rückmeldung nie an — das Paket verschwindet stillschweigend, und die Verbindung hängt ohne Fehlermeldung.
3.
Die MTU im VPN senken
In der VPN-Konfiguration die MTU des Tunnels auf einen kleineren, sicheren Wert setzen. Für viele Tunnel ist ein Wert um 1400 ein guter Startpunkt. Danach die problematischen Seiten erneut testen und den Wert bei Bedarf weiter senken.
4.
MSS-Clamping nutzen
Auf Routern und in vielen VPN-Servern lässt sich die maximale Segmentgröße für Verbindungen automatisch anpassen (MSS-Clamping). Das begrenzt die Paketgröße genau passend zum Tunnel und behebt das Problem, ohne an jedem Gerät etwas einstellen zu müssen.
5.
Die richtige MTU ermitteln
Mit einem Ping in fester Größe und gesetztem Nicht-Fragmentieren-Bit lässt sich die größte durchpassende Paketgröße herantasten. Der letzte Wert, der noch durchkommt, plus die feste Zugabe für die Kopfdaten ergibt die passende MTU:
ping -M do -s 1372 -c 2 1.1.1.1
Häufige Fragen (FAQ)
?Über VPN laden manche Seiten gar nicht, andere problemlos. Woran liegt das?
An der Paketgröße. Der VPN-Tunnel legt zusätzliche Kopfdaten um jedes Paket, sodass die nutzbare Größe sinkt. Große Pakete müssten zerlegt werden – und wenn die dafür nötigen ICMP-Meldungen unterwegs blockiert werden, gehen sie stillschweigend verloren. Kleine Anfragen kommen durch, große nicht. Genau deshalb lädt die Seite an, aber nie fertig.
?Wie finde ich die richtige MTU?
Mit Pings fester Größe, die nicht fragmentiert werden dürfen: Größe schrittweise senken, bis sie durchkommen. Zum Ergebnis addieren Sie 28 Byte für die Kopfdaten – das ist Ihre MTU. Auf Routern ist MSS-Clamping oft der elegantere Weg: Es passt die Paketgröße automatisch an, ohne dass jeder Client angefasst werden muss.
Belege
Diese Seite ist gegen die folgenden Primärquellen geprüft – Hersteller, Standard oder Gesetzestext. Wer es nicht glaubt, muss es nicht: Da steht, wo es nachzulesen ist.