隧道的边界：连接路径、封装与故障定位

ℹ️NOTE

演示内容说明：本文为「视野之外」演示日志，记录多层网络隧道封装时的边界约束与故障定位逻辑。

在异构网络搭建加密隧道时，最常遇到的性能陷阱与不可达问题往往发生在“隧道的边界”——即原始 IP 数据包被添加多层 Header 后的分片（Fragmentation）与丢包现象。

1. 隧道封装的开销计算

当原始数据包穿越多层加密隧道时，可用传输单元（MTU）层层剥减：

[ 原始 TCP 负载 (MSS) ] 
  + TCP 头部 (20B) 
  + IP 头部 (20B)  => 原始 IP 包 (1500B)
    + WireGuard 头部 (40B) 
    + 外层 UDP 头部 (8B) 
    + 外层 IP 头部 (20B) => 实际物理网卡数据包 (1568B -> 超出 MTU!)

如果链路上禁止分片（DF=1），连接将直接出现“握手成功但无法加载大页面”的典型症状。

2. 最佳 MTU 配置规则

对于常见环境，推荐的 safe MTU 设值标准：

# [演示命令] 快速定位路径路径 Path MTU Discovery
ping -s 1442 -M do 1.1.1.1

3. 分层故障诊断流程

1. L3 可达性：使用 mtr --udp --port 443 检测跨国中继节点的丢包抖动。
2. L4 握手开销：测算 TCP Handshake RTT 与 TLS RTT 的比例。
3. L7 协议死锁：确认 HTTP/2 Multiplexing 连接数上限与 Keepalive 心跳周期。