После подключения VPN перестали открываться сайты
VPN добавляет к пакету собственный заголовок, и полезная нагрузка становится больше доступного размера. Крупные пакеты отбрасываются, а мелкие проходят — отсюда странная картина: мессенджеры работают, сайты не открываются.
Разберём, как найти подходящий размер и почему автоматика не всегда справляется.
Что такое MTU
MTU — максимальный размер полезной нагрузки кадра, который можно передать без фрагментации.
Для Ethernet типичное значение — 1500 байт.
Туннель добавляет заголовки, поэтому внутри него доступно меньше.
Если приложение пытается передать пакет больше лимита, он может быть отброшен.
Почему часть сайтов работает
Рукопожатие и небольшие запросы проходят, а крупные ответы сервера — нет.
Страница может подвисать на загрузке ресурсов.
Мелкие сервисы при этом работают нормально.
Такая избирательность сбивает с толку.
Проверка размера пакета
Используйте команду проверки связи с указанием размера и запрета фрагментации.
Уменьшайте размер, пока пакеты не начнут проходить.
Прибавьте к найденному значению размеры заголовков.
Запишите результат.
Настройка на клиенте
MTU можно уменьшить для конкретного подключения.
Проверьте, применяется ли значение после переподключения.
Сравните работу до и после.
Сохраните рабочее значение.
Автоматическое определение
PMTU должен подбираться автоматически по сообщениям о необходимости фрагментации.
Если такие сообщения блокируются, автоматика не работает.
Отсюда классическая проблема «чёрной дыры».
Ручная настройка обходит её.
Роль промежуточных устройств
Маршрутизаторы и межсетевые экраны могут блокировать служебные сообщения.
Проверьте политики на шлюзе.
В корпоративной сети это задача администратора.
Дома достаточно изменить MTU на клиенте или роутере.
Влияние типа VPN
Разные протоколы добавляют разный объём служебных данных.
Поэтому одни и те же значения не подходят для всех.
Проверьте рекомендации поставщика.
Не копируйте настройки вслепую.
Проверка после изменения
Откройте несколько сайтов разного размера.
Проверьте загрузку файлов и видеозвонки.
Посмотрите, не появилось ли новых проблем.
Запишите результат.
Когда дело не в MTU
Иногда виноват DNS: имена не разрешаются, а пинг по адресу работает.
Проверьте разрешение имён.
Сравните с подключением без VPN.
Это отдельная причина с похожими симптомами.
Что делать в поездке
В гостевых сетях значения могут отличаться.
Попробуйте уменьшить MTU на 100–200 байт.
Проверьте работу.
Верните прежние значения после возвращения.
Риски неверных настроек
Слишком маленький MTU снижает эффективность и скорость.
Слишком большой возвращает проблему.
Меняйте по одному шагу.
Записывайте исходные значения.
Что записать для поддержки
Укажите тип VPN, провайдера и найденное значение MTU.
Опишите, какие сайты не работают.
Приложите результаты проверки связи.
Это ускорит разбор.
Как подобрать MTU по шагам
Начните с проверки связи пакетами стандартного размера без фрагментации.
Если ответа нет, уменьшайте размер на небольшой шаг.
Остановитесь на наибольшем размере, который проходит.
Прибавьте к нему размеры заголовков, чтобы получить значение для настройки.
Запишите результат и проверьте работу сайтов.
Не уменьшайте значение сразу до минимума: это снизит скорость.
Почему проверка связи не всегда показательна
Некоторые серверы и промежуточные устройства не отвечают на служебные запросы.
Это не означает, что путь не работает.
Проверяйте несколько адресов.
Сравнивайте поведение с подключением без туннеля.
Ориентируйтесь на реальную работу приложений.
Записывайте наблюдения.
Что меняется в настройках
В системе можно задать размер для конкретного сетевого подключения.
Часть клиентов VPN имеет собственный параметр.
Если параметр задан в двух местах, работает меньшее значение.
После изменения переподключите туннель.
Проверьте, применилось ли значение.
Вернитесь к исходному, если стало хуже.
Как влияет тип трафика
Видеозвонки и загрузки чувствительны к размеру пакетов.
Небольшие запросы проходят даже при ошибке в настройках.
Поэтому проверяйте именно те задачи, которые важны.
Откройте несколько сайтов с разным содержимым.
Проверьте передачу файла.
Сравните результат до и после изменения.
Что делает провайдер
Часть провайдеров использует туннели с собственными ограничениями.
Проверьте рекомендации в личном кабинете.
Уточните поддерживаемые значения.
Сравните с настройками по умолчанию.
При отсутствии информации подбирайте значение опытным путём.
Запишите рабочий вариант.
Что делать, если значения не помогают
Проверьте, не блокирует ли провайдер часть протоколов.
Попробуйте другой тип туннеля.
Проверьте настройки DNS.
Сравните работу без туннеля.
Запишите наблюдения.
Обратитесь в поддержку провайдера или VPN.
Итоговая последовательность
Проверьте, повторяется ли проблема только через туннель: сравните с прямым подключением.
Подберите максимальный размер пакета, который проходит без фрагментации.
Задайте соответствующее значение на клиенте или в профиле туннеля.
Переподключите туннель и проверьте сайты, загрузку файлов и звонки.
Если изменений нет, проверьте DNS и фильтрацию на стороне провайдера.
Запишите рабочее значение: оно пригодится в следующей сети.
Что проверить в профиле туннеля
Убедитесь, что значение применяется именно к нужному профилю.
Проверьте, не переопределяет ли его другой параметр.
Сравните поведение при переподключении.
Посмотрите журнал клиента: там могут быть сообщения об ошибках размера.
Проверьте, не включён ли режим, добавляющий дополнительные заголовки.
Запишите рабочую конфигурацию.
Последняя проверка
Проверьте сайты и загрузку файлов.
Убедитесь, что звонки работают.
Сравните с прямым подключением.
Запишите рабочее значение.
Перепроверьте после обновления клиента.
Сохраните настройку.
Что влияет на скорость
Слишком маленький MTU увеличивает накладные расходы.
Подбирайте максимальное рабочее значение.
Проверяйте на нескольких адресах.
Учитывайте тип трафика.
Сравнивайте результаты.
Не оставляйте значение «на всякий случай» минимальным.
FAQ
Почему через VPN не открываются сайты? Пакеты больше допустимого размера отбрасываются.
Что делать? Уменьшить MTU на подключении до рабочего значения.
Почему автоматика не помогает? Служебные сообщения о фрагментации могут блокироваться.
Как проверить? Командой проверки связи с запретом фрагментации.
Ограничения
Значения зависят от провайдера и типа туннеля. Материал описывает метод подбора; конкретные цифры подбираются опытным путём.