行业资讯 · 发布时间：
小请求能通，传大文件或访问某些服务却卡住，问题未必在应用。虚拟计算节点容器网络MTU不一致导致的连接故障定位，关键是沿数据包实际经过的链路逐段核对最大传输单元（MTU），而非只查看容器网卡的一个数值。
先看症状：为什么连接会“半通”
MTU 表示链路可承载的最大 IP 包长度。常见以太网接口 MTU 为 1500 字节，但容器流量可能经过虚拟网桥、隧道和物理网卡。以 VXLAN 为例，外层封装会增加额外头部；在常见 IPv4 外层且不计可选字段时，开销约为 50 字节。因此，底层链路若只支持 1500，隧道内层 MTU 通常需要相应降低。Geneve 等封装的开销则随选项而变化。
若路径 MTU 发现（PMTUD）所需的 ICMP 报文被防火墙拦截，发送端可能无法获知包过大。结果常表现为小包成功、大包停滞、TLS 握手或文件传输超时；不过，这些症状也可能由丢包、策略或应用故障引起，不能单凭现象定因。
从两端到中间逐段测量
先记录通信两端的容器、虚拟节点和承载网络接口名称及 MTU；再查看实际路由和封装路径。Linux 上可使用 iproute2 检查接口和路由，避免只对照配置文件，因为运行中的接口值才直接影响当前数据包。
- 查看接口：在容器与所在节点分别执行 ip link，记录相关接口的 MTU；用 ip route get 目标地址 查看去程实际选用的接口。
- 测试不分片的大包：Linux IPv4 环境可用 ping -M do -s 1472 目标地址测试 1500 字节路径的上限（28 字节用于 IPv4 与 ICMP 头部）。若不通，将载荷逐步调小；IPv6 的 ICMP 头部开销不同，不能照搬这个数值。命令选项也可能因系统实现而异。
- 定位链路差异：从容器、节点到对端逐段重复测试，并结合 tracepath 查看路径 MTU 信息。若某一段开始无法通过大包，检查该段接口 MTU、隧道封装及 ICMP 过滤规则。
- 对照回程：双向测试并检查反向路由。两端 MTU 相同不代表整条路径一致；非对称路由可能让去程成功、回程受限。
修复前，先明确改哪一层
降低覆盖网络 MTU
若底层链路 MTU 固定，而 VXLAN 等封装占用额外空间，按封装开销为容器网络留出空间，通常比增大底层接口更可行。不同 CNI 插件和虚拟网络的配置入口不同，应核对其有效配置，并安排节点或网络组件按要求重新加载；只改容器内接口可能被编排系统覆盖。
检查路径发现与 TCP MSS
允许必要的 ICMP“需要分片”或 IPv6“数据包过大”消息，有助于 PMTUD 正常工作。TCP MSS 调整可作为特定 TCP 路径的缓解手段，但不解决 UDP 等流量，也不能替代全路径 MTU 核对。若确认所有链路支持更大 MTU，也可评估统一提高底层值，但需确认交换设备、虚拟交换机和隧道端点均支持。
复测与常见问题
修改后重新检查接口值，复测不同大小的 IPv4、IPv6 数据包及实际业务连接，并观察是否仍有重传或超时。虚拟计算节点容器网络MTU不一致导致的连接故障定位，应以端到端路径结果和业务复测收尾，而不是以单个接口显示正常为结论。
- 只有大文件传输失败，能确定是 MTU 吗？不能。这是线索之一，还需测试不分片大包，并排查丢包、防火墙和应用限制。
- 容器和节点 MTU 相同，就说明配置正确吗？不一定。封装后的外层包还要经过底层链路，必须把隧道及整条路径纳入检查。
- 可以直接把 MTU 设成 1500 吗？只有路径各段都能承载相应报文时才合适；隧道开销可能要求降低内层 MTU。
