典型现象是：VPS 上 ping 小包正常，SSH 也能登录，但图片较多的网页打开缓慢，文件传输进度长时间不动。看似带宽不足，丢包其实可能只发生在超过路径 MTU 的大报文。VPN、PPPoE 或云厂商封装增加开销后，外层 MTU 1500 并不等于内层可用 MTU；PMTUD 一旦失效，就会“能握手，传不动数据”。
如果你正在选机器，或者想先把线路和配置跑通再谈长期方案，可以先看看这几家的线路说明和技术参数：ipdeep（海外服务器），先看清带宽线路、流量策略和退款条款，再决定要不要迁。
TCP 的 SYN 很小，握手往往正常，数据大段才暴露问题。本机 MTU 为 1500、路径实际更窄时，路由器可依据 DF 位拒绝转发并返回 ICMP“需要分片”，也可在 IPv4 链路中拆成多个IP 分片。任一分片丢失都要整包重传，网页资源并发时卡顿更明显。IPv6 路由器不负责分片，只能由源端降低包长。
若 ICMP 差错被防火墙、ACL 或安全设备丢弃，就形成PMTUD 失效：发送端收不到“包太大”的反馈，仍按 1500 发包，报文被静默丢弃。两端抓包见“大包持续发出却无确认，小包往返正常”，才像 MTU 黑洞；仅凭一次 ping 超时不能定案。
还要区分 TCP 分段与 IP 分片。前者由两端协商 MSS 后拆分应用数据，后者是路由器或源主机对 IP 包的处理。MSS 正常并不代表路径能接收 1500 字节 IP 包；反之，看到 IP 分片也未必是根因，丢失的重组分片同样会触发重传。
先记录两端网卡、隧道和路由 MTU，再做路径 MTU 探测：Linux 发送带 DF 的大 ICMP 包，并结合 traceroute 显示的接口 MTU；Windows 使用支持 DF 的 ping。结果须按出口、目标和封装保存，一条路径正常不代表 CDN 或另一条 VPN 路径正常。若大包稳定失败、小包稳定成功，再在中继与两端抓包，核对 ICMP“需要分片”、IPv4 分片及重组超时。探测要重复多档包长，单个大包失败可能只是目标限速。
确认 PMTUD 黑洞后，优先放通路径所需 ICMP，并修正隧道接口的内层 MTU；临时方案是在路由或防火墙侧钳制TCP MSS 协商。MSS 是 TCP 段的数据上限，应由实际路径 MTU 扣除 IP、TCP 固定头：IPv4 先按 MTU 减 40，IPv6 减 60，再核算 VXLAN、GRE、VPN、PPPoE 的封装开销，不能照搬外层 1500。调整后抓取完整 TCP 段，确认 IP 总长不超过路径 MTU，并复测网页与文件吞吐。
两个坑最常见：只调小 MSS 就宣布修复，忽略 QUIC、UDP 和 DNS 大响应，因为 MSS 只作用于 TCP；以及长期关闭 DF，掩盖隧道 MTU 配置错误。多地节点排查时，可用 ServLlama 汇总探测结果、对照各段封装参数，最终仍以两端抓包和业务吞吐为准。
大包超时而小包正常时，用 ping -M do 禁止分片，按 1500、1472、1460、1400、1200 逐级探测，找出固定失败阈值；再用 tracepath 查看路径 MTU。若 DF 包稳定地在某尺寸后消失，接口仍显示 1500，抓包又看不到 ICMP“需要分片”，便符合 PMTUD 黑洞：中间设备无法转发，却未把 MTU 信息反馈给源端。
用 tcpdump 对照客户端、网关和隧道两端，区分链路 MTU与路径 MTU：接口为 1500，不代表 PPPoE、隧道或骨干路径也能承载 1500。ICMP 若被 ACL 丢弃，不能只凭“没收到报错”定论，还应结合尺寸阈值、握手卡顿和重传位置判断。
TCP 可通过 MSS 协商规避黑洞，MSS 约等于路径 MTU 减去 IPv4、TCP 头各 20 字节；路径 MTU 为 1400 时，MSS 应不高于 1360，TCP 选项和认证头还需留量。MSS 只保护 TCP，UDP、GRE、QUIC 仍可能失败，应先修正隧道 MTU，再做边界 MSS clamping，避免固定值掩盖路径变化。
IPv4 分片发生于 DF 未置位且报文超过出接口 MTU 时，任一分片丢失都会导致整包重传；IPv6 路由器不替源端分片，而依赖源端接收 ICMPv6“数据包太大”后调整。小包能 ping 通只证明可转发，不能证明 PMTUD 正常；测试时应固定 DF，避免把分片成功误判为链路正常。
封装开销须按外层 MTU倒推。普通 IPv4 over GRE 常见额外开销为外层 IP 20 加 GRE 24，共 44 字节，底层 1500 时内层 MTU 最多 1456；IPsec、WireGuard、额外标签头长不同，须按实际封装计算。修改 MTU 后，还要同步 DHCP/RA、路由通告、TCP MSS、防分片策略与监控阈值，避免单端修改形成新错配。
可执行检查清单：①用 ip route get 确认出口；②读取客户端、网关、隧道两端的接口及路由 MTU；③以禁止分片的尺寸阶梯找到首个失败点；④用 tracepath 定位下降节点，并抓取 ICMP/ICMPv6、TCP 握手和重传；⑤核算封装头及 TCP/IP 头后设置内层 MTU 与 MSS；⑥同步调整隧道、防分片和通告参数，复测大包、小包与长连接；⑦观察是否仍有大尺寸重传或握手卡顿。
