시스템 관리_17 VPN 및 터널 패킷 드롭을 유발하는 MTU 불일치(Mismatch) 원인과 해결 방법

# 1. 시스템의 모든 인터페이스 MTU 값 확인 (물리 인터페이스 vs 터널 인터페이스 비교)
$ ip link show
# 2: eth0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc mq state UP mode DEFAULT group default qlen 1000
# 5: wg0: <POINTOPOINT,NOARP,UP,LOWER_UP> mtu 1420 qdisc noqueue state UNKNOWN mode DEFAULT group default qlen 1000
# 8: tun0: <POINTOPOINT,MULTICAST,NOARP,UP,LOWER_UP> mtu 1500 qdisc fq_codel state UNKNOWN mode DEFAULT group default qlen 500
# -> tun0이 물리 인터페이스(1500)와 동일한 1500으로 잡혀 있다면 헤더 오버헤드로 인해 패킷 드롭 발생 가능성 높음

# 2. DF(Don't Fragment) 플래그를 설정하여 터널 경로상 최대 허용 패킷 크기(MTU) 측정
# 1472 bytes (데이터) + 20 bytes (IP 헤더) + 8 bytes (ICMP 헤더) = 1500 MTU 테스트
$ ping -M do -s 1472 10.8.0.1
PING 10.8.0.1 (10.8.0.1) 1472(1500) bytes of data.
ping: local error: Message too long, mtu=1420

# 3. Path MTU 탐색(PMTUD) 도구로 경로상 MTU 병목 지점 추적
$ tracepath 10.8.0.1
 1?: [LOCALHOST]     pmtu 1500
 1:  10.8.0.1                                              15.210ms pmtu 1420
     TooHashTable...
     Resume: pmtu 1420 

# 4. TCP 3-Way Handshake 시 협상되는 MSS 값 덤프 확인
$ sudo tcpdump -nn -i any "tcp[tcpflags] & (tcp-syn) != 0" and host 10.8.0.1
# [출력 예시] MSS 1460이 확인되는 경우 터널 헤더 오버헤드를 반영하지 못한 상태임

#!/bin/bash
# test_tunnel_mtu.sh - Find optimal MTU size through VPN/Tunnel and verify MSS clamping

TARGET_IP=${1:-"10.8.0.1"}
DEV_NAME=${2:-""}

echo "=========================================="
echo " [MTU 병목 진단 시작] 대상 IP: ${TARGET_IP}"
echo "=========================================="

# 1. 대상 IP 도달 가능 여부 기본 검사
if ! ping -c 1 -W 2 "$TARGET_IP" &>/dev/null; then
    echo "  [오류] 대상 IP($TARGET_IP)와 기본 ICMP 통신이 불가능합니다."
    exit 1
fi

echo -e "\n[1] 단편화 금지(DF 플래그) 최적 패킷 크기 탐색 중..."

LOW=1200
HIGH=1500
OPTIMAL_PAYLOAD=1200

while [ "$LOW" -le "$HIGH" ]; do
    MID=$(( (LOW + HIGH) / 2 ))
    # ICMP 패킷 전송 (단편화 방지: -M do)
    if ping -c 1 -W 1 -M do -s "$MID" "$TARGET_IP" &>/dev/null; then
        OPTIMAL_PAYLOAD=$MID
        LOW=$(( MID + 1 ))
    else
        HIGH=$(( MID - 1 ))
    fi
done

TOTAL_MTU=$(( OPTIMAL_PAYLOAD + 28 ))

echo "  -> 단편화 없이 도달 가능한 최대 ICMP 페이로드: ${OPTIMAL_PAYLOAD} bytes"
echo "  -> 권장 경로 MTU (Payload + 28 byte 헤더): ${TOTAL_MTU} bytes"

# 2. 현재 인터페이스 설정값과 비교
if [ -n "$DEV_NAME" ]; then
    echo -e "\n[2] 인터페이스 '${DEV_NAME}' 상태 비교:"
    CURRENT_MTU=$(ip -o link show dev "$DEV_NAME" | awk '{print $5}')
    echo "  - 현재 인터페이스 MTU: ${CURRENT_MTU}"
    echo "  - 추천 설정 MTU      : ${TOTAL_MTU}"

    if [ "$CURRENT_MTU" -gt "$TOTAL_MTU" ]; then
        echo "  [경고] 인터페이스 MTU가 경로 허용치보다 큽니다! 패킷 드롭 발생 위험."
        echo "  -> 수정 명령어: sudo ip link set dev ${DEV_NAME} mtu ${TOTAL_MTU}"
    else
        echo "  [정상] 인터페이스 MTU가 안전 범위 내에 설정되어 있습니다."
    fi
fi

# 3. TCP MSS Clamping 규칙 적용 여부 검사
echo -e "\n[3] 방화벽 TCP-MSS 클램핑 규칙 검사:"
if command -v iptables &>/dev/null; then
    MSS_RULES=$(sudo iptables -t mangle -S | grep -E "TCPMSS.*clamp-mss-to-pmtu")
    if [ -n "$MSS_RULES" ]; then
        echo "  [정상] iptables mangle 테이블에 TCPMSS 클램핑 규칙이 활성화되어 있습니다:"
        echo "  $MSS_RULES"
    else
        echo "  [주의] TCPMSS 클램핑 규칙이 발견되지 않았습니다."
        echo "  -> VPN 라우터 또는 방화벽에 아래 규칙 추가 권장:"
        echo "     iptables -t mangle -A FORWARD -p tcp --tcp-flags SYN,RST SYN -j TCPMSS --clamp-mss-to-pmtu"
    fi
fi

echo -e "\n=========================================="
echo " [진단 완료]"
echo "=========================================="

# WireGuard 예시 (/etc/wireguard/wg0.conf)
[Interface]
MTU = 1420

# 수동 즉시 변경
sudo ip link set dev tun0 mtu 1400