MTU 1400 到底解决了什么问题

现象很好认：ping 小包正常，SSH 能连，网页卡在加载或者一直转圈。这是典型的 MTU 黑洞——大包被丢弃，而丢弃通知没有回来。

隧道封装会额外占掉头部空间。IP-in-IP 少 20 字节，GRE 少 24，各种加密隧道少得更多。链路上任何一跳的 MTU 是 1500，封装后就超了，需要分片；而很多路径上 ICMP 被过滤，分片需求的通知到不了发送端。

所以 1400 这个数字并不神秘：它给大多数封装留了足够头部空间，同时低于几乎所有路径的 MTU。不是最优，但是安全。

验证方法不是 ping，因为 ping 默认不分片。要用 -M do -s 逐步试，找到能过的最大尺寸，再加上头部开销倒推接口 MTU。只看能不能 ping 通会漏掉这个问题。