Un sintomo classico e sconcertante: la VPN è "su", il ping funziona, ma alcuni siti non caricano o si bloccano a metà. Quasi sempre è un problema di MTU.
La causa: ogni pacchetto ha una dimensione massima (la MTU, tipicamente 1500 byte). Un tunnel VPN aggiunge il proprio overhead di incapsulamento (header di cifratura), quindi dentro il tunnel lo spazio utile è minore – se un pacchetto viaggia a 1500 ma nel tunnel ce ne stanno solo ~1420, deve essere frammentato... e se qualcosa lungo il percorso blocca i messaggi ICMP di "Path MTU Discovery" (comune con firewall troppo zelanti), i pacchetti grandi vengono scartati in silenzio – il ping (pacchetti piccoli) passa, il traffico reale (pacchetti grandi) muore. Da qui il comportamento "funziona ma non funziona".
Le soluzioni:
- MSS clamping – la più efficace: il gateway riscrive la dimensione massima di segmento (MSS) annunciata nell'handshake TCP, così i due estremi concordano da subito pacchetti che entrano nel tunnel senza frammentazione. Nei firewall si attiva con "clamp MSS to PMTU"
- abbassare la MTU dell'interfaccia VPN al valore giusto (WireGuard di solito la gestisce bene di suo, 1420)
- non bloccare l'ICMP necessario alla Path MTU Discovery
È uno di quei problemi che sembrano stregoneria finché non conosci il meccanismo – e allora si risolvono in una riga di configurazione. Il packet leakage (traffico che sfugge fuori dal tunnel) è un tema imparentato: kill-switch della VPN e routing corretto assicurano che tutto passi cifrato, senza fughe.