MTU en MSS op Sophos Firewall controleren bij VPN-problemen

Een typisch MTU- of MSS-probleem ziet er niet uit als een duidelijke blokkade: de VPN-tunnel is verbonden en ping werkt, maar downloads worden afgebroken, RDP loopt vast of HTTPS-aanmeldingen blijven hangen. De oorzaak kan het kleinere bruikbare pad door IPsec, PPPoE, XFRM of SD-WAN zijn.

Als de tunnel helemaal niet tot stand komt of er geen Security Association aanwezig is, gebruik dan eerst Sophos Firewall IPsec VPN Troubleshooting. Voor interfacetypen en XFRM helpt Sophos Firewall-zones en -interfaces configureren.

Snelle diagnose: een MTU- of MSS-probleem aantonen

Controleer in Log Viewer de verwachte Firewall Rule ID en, als NAT bij het pad betrokken is, de NAT Rule ID. Als het verkeer volledig ontbreekt of verkeerde regels worden toegepast, corrigeer dan eerst routing, zone, NAT of DNS.
Noteer Source, Destination, Service, richting, TCP/UDP en het werkelijke pad via LAN, VLAN, WAN, XFRM, RED, SD-WAN of Remote Access VPN.
Toon de huidige MTU en MSS van de betrokken interface en documenteer deze.
Voer een DF-test, een nauwkeurig gefilterde Packet Capture en dezelfde echte applicatietest uit.
Wijzig alleen een waarde als er een reproduceerbaar verschil bestaat tussen kleine en grote pakketten. Herhaal daarna exact dezelfde test.

De algemene regelcontrole wordt beschreven in Firewallregel testen met Log Viewer, Policy Test en Packet Capture. Bij een afwijkende NAT Rule ID helpt NAT op Sophos Firewall begrijpen.

Pakketgrootte testen met de DF-bit

Bij IPv4 komen bij de ICMP-payload 20 bytes voor de IP-header en 8 bytes voor de ICMP-header. Een payload van 1472 komt dus overeen met een pakket van ongeveer 1500 bytes.

Windows:

ping -f -l 1472 <target-ip>

macOS:

ping -D -s 1472 <target-ip>

Linux:

ping -M do -s 1472 <target-ip>

Als 1472 mislukt, verlaag de payload dan stapsgewijs naar 1464, 1452, 1412 of minder. Documenteer zowel de werkende als de mislukte grootte. ICMP-filters, providers, cloudgateways of de tegenpartij kunnen het resultaat vertekenen; de DF-test vervangt daarom noch Packet Capture noch de applicatietest.

MTU, MSS en het betrokken pad beoordelen

De MTU is de maximale pakketgrootte van een interface of pad. Grotere pakketten worden gefragmenteerd of verworpen. De MSS beperkt het TCP-datadeel per segment. Als deze ondanks VPN- of provideroverhead te hoog blijft, ontstaan retransmits, vastlopende verbindingen en onderbrekingen bij grotere hoeveelheden gegevens.

MTU en MSS zijn geen algemene optimalisatiewaarden. Het concrete pad is bepalend:

WAN, PPPoE of VLAN: de provider, een router of een extra header kan de bruikbare pakketgrootte verkleinen.
XFRM: route-based IPsec veroorzaakt overhead; routes, regels en de XFRM-interface bepalen samen het pad.
SD-WAN: een flow kan een ander WAN-, MPLS- of VPN-pad gebruiken dan verwacht. De padselectie wordt uitgelegd in SD-WAN-routing voor Reply Packets en System Traffic.
Tegenpartij: terugroute, externe firewall, cloud-VPN en MSS-clamping moeten bij de geteste richting passen.
Wi-Fi: sinds SFOS 22.0 MR1 kunnen MTU en MSS van bestaande Wi-Fi-interfaces worden gewijzigd met de gedocumenteerde CLI-opdrachten.

Verdacht zijn grote downloads of uploads, RDP, SMB, HTTPS, back-ups, ERP, cloud- en vergadertoepassingen of VoIP die alleen via een specifiek VPN- of SD-WAN-pad uitvallen. Ook veel iPerf-retransmits, sterk wisselende TCP-doorvoer of een fout direct na een providerwissel, firmware-upgrade, SD-WAN-wijziging of VPN-migratie passen in dit beeld. Als kleine en grote tests op dezelfde manier mislukken, zijn regel, NAT, routing, DNS, doelsysteem of terugweg waarschijnlijker.

Gegevensstroom controleren met Log Viewer, Packet Capture en iPerf

Regel, NAT en DNS uitsluiten

Geen verkeer in Log Viewer: controleer clientgateway, VLAN, route, logging en testflow.
Verkeerde Firewall Rule ID: controleer volgorde, zone, Source, Destination, Service en User Matching. Meer oorzaken staan in Sophos Firewall-regel wordt niet toegepast.
Verkeerde NAT Rule ID: controleer volgorde, originele velden, MASQ, SNAT, DNAT en richting.
Onverwacht bestemmings-IP: controleer DNS, Split DNS, FQDN-object, CDN en IPv6.

Als een VPN betrokken is, controleer dan ook de tunnelstatus en de bytecounters. Documenteer TLS Inspection, IPS en Application Control, zodat de tests vóór en na de wijziging werkelijk hetzelfde pad en dezelfde Security Features vergelijken.

Packet Capture beoordelen

Open onder Diagnostics > Packet capture eerst Configure en stel een nauwkeurig BPF-filter in, bijvoorbeeld host 192.0.2.10 and host 198.51.100.20 and port 443. Schakel daarna Trace On in, reproduceer precies één HTTPS-aanroep, overdracht of applicatiestart en stop de capture met Trace Off:

Als pakketten niet aankomen, ligt het probleem meestal bij de client, gateway, VLAN of lokale routing.
Als pakketten de tunnel ingaan maar antwoorden ontbreken, controleer dan de tegenpartij en de terugroute.
Herhaalde TCP-pakketten of ontbrekende antwoorden kunnen wijzen op pakketverlies, MTU/MSS, WAN-kwaliteit of overbelasting. Voor een betrouwbare analyse van retransmits zijn een PCAP-bestand en Wireshark nodig.
Als kleine tests werken maar grote overdrachten niet, controleer dan Path MTU Discovery en fragmentatie.

De bediening wordt uitgelegd in Packet Capture in WebAdmin gebruiken. De WebAdmin-buffer is beperkt tot 2048 KB en zonder Wrap capture buffer once full stopt de capture automatisch zodra deze vol is. Laat captures en debuglogs alleen zo lang als nodig actief.

iPerf vergelijken met een applicatietest

Een eigen iPerf-server aan de tegenzijde is betekenisvoller dan een openbare server. Test TCP en UDP afzonderlijk en beoordeel lage TCP-doorvoer of retransmits samen met WAN-kwaliteit, CPU, tegenpartij en Security Features. De volledige procedure staat in Sophos Firewall Troubleshooting met iPerf en Speedtest.

MTU en MSS weergeven of wijzigen

WebAdmin en XFRM

Bewerk onder Network > Interfaces de betrokken interface en open Advanced settings > Interface settings. Daar staan MTU en Override MSS. XFRM-interfaces verschijnen onder hun fysieke listening interface.

Sinds SFOS 22.0 berekent Sophos Firewall de XFRM-MTU standaard aan de hand van de MTU van de listening interface en de maximale IPsec-overhead. Als de XFRM-MTU handmatig wordt gewijzigd, moet deze minstens 113 bytes kleiner zijn dan de MTU van de listening interface. Bij 1400 bytes op de listening interface mag XFRM maximaal 1287 bytes gebruiken. Deze reserve voorkomt pakketverlies tijdens FastPath-offload wanneer SSL/TLS-decryptie op IPsec-verkeer wordt toegepast. Doorloop vóór de uitrol de voorbereiding voor de Sophos Firewall-firmware-update om de geïnstalleerde build, het ondersteunde upgradepad en actuele buildspecifieke aanwijzingen te controleren.

Waarden in de Device Console controleren

Meld u aan via SSH, kies in het hoofdmenu 4. Device Console en vul de interface-ID in:

show mtu-mss Port2

Leg de weergegeven MTU- en MSS-waarden vóór de test exact vast; zij bepalen de rollback.

⚠️ Een wijziging beïnvloedt actief verkeer en kan de SSH- of WebAdmin-verbinding onderbreken. Voer deze niet uit via de enige beheerverbinding op de betrokken interface. Er moet lokale of out-of-band toegang voor herstel beschikbaar zijn. Port2 is slechts een voorbeeld en moet worden vervangen door de daadwerkelijk gecontroleerde interface-ID.

Voor fysieke en Wi-Fi-interfaces documenteert Sophos de volgende wijzigingssyntax. Deze is niet gedocumenteerd als methode voor een XFRM-interface; wijzig XFRM daarom in WebAdmin:

set network mtu-mss <PortID> mtu <number|default> mss <number|default>

Rekenvoorbeeld: als de aangetoonde IPv4-pad-MTU 1492 bytes bedraagt, resulteert dit zonder extra opties in een TCP-MSS van 1452 bytes (1492 - 20 - 20). Dit is geen algemene SFOS-standaardwaarde en evenmin een algemene aanbeveling voor de fysieke PPPoE-interface.

Als voor Port2 vooraf MSS 1460 is gedocumenteerd, wijzig dan tijdens een onderhoudsvenster eerst alleen MSS naar de berekende testwaarde:

set network mtu-mss Port2 mss 1452

Controleer de waarde direct met show mtu-mss Port2 en herhaal dezelfde DF- en applicatietest. Als het verkeer verslechtert of niet verbetert, herstelt dit voorbeeld de vastgelegde oorspronkelijke waarde:

set network mtu-mss Port2 mss 1460

Was vóór de test een andere MSS-waarde actief, gebruik dan exact die waarde in plaats van 1460 en controleer deze opnieuw met show mtu-mss Port2.

Als alternatief stelt default de door Sophos gedocumenteerde productstandaardwaarden in: MTU 1500 en MSS 1460:

set network mtu-mss Port2 mtu default mss default

Dit is alleen een rollback als deze waarden vóór de wijziging actief waren. Herstel anders expliciet de met show mtu-mss gedocumenteerde oorspronkelijke waarden.

Wijziging valideren

documenteer de betrokken interface, tunnel en oorspronkelijke waarden;
kies een onderhoudsvenster of gecontroleerd testmoment;
voer slechts één wijziging per test uit;
informeer de tegenpartij bij een site-to-site VPN;
controleer na een wijziging of rollback met show mtu-mss Port2 of de verwachte waarden actief zijn;
herhaal dezelfde DF-, Packet Capture-, iPerf- en applicatietest;
documenteer de nieuwe waarden, reden en het resultaat;
controleer de monitoring gedurende de volgende dagen.

⚠️ Gebruik geen permanente Advanced Shell-hacks, opstartscripts of geïmproviseerde pakketfilterregels. Ze zijn moeilijk te onderhouden en kunnen na een update, herstel of HA-failover verkeerd werken of verdwijnen. Als dergelijke oude aanpassingen bestaan, helpt Sophos Firewall-scripts zonder Cronjob: risico’s en alternatieven.

Verlaag MSS niet zonder onderscheid sterk voor alle netwerken, test nooit slechts één richting en negeer de tegenpartij niet. Als een gecontroleerde test geen verbetering oplevert, herstel dan de gedocumenteerde oorspronkelijke waarde.

Problemen oplossen per symptoom

VPN groen, grote overdrachten lopen vast: controleer MTU/MSS, terugweg of Security Feature met Packet Capture en iPerf op hetzelfde pad.
Alleen PPPoE-WAN getroffen: controleer WAN-interface, gateway, providergegevens en bruikbare pakketgrootte.
Route-based VPN instabiel bij grote pakketten: controleer XFRM-interface, IPsec-verbinding, route en 113-byteregel.
VoIP via VPN instabiel: controleer SIP-/RTP-pad, SD-WAN-route, terugweg, pakketverlies en capture.
TCP zeer traag, UDP normaal: controleer MSS, retransmits, TCP-window en pakketverlies met afzonderlijke iPerf-tests.
Kleine pakketten werken, grote niet: documenteer de DF-test en controleer Path MTU Discovery, fragmentatie en tegenpartij.

FAQ

Waarom werkt ping, maar HTTPS of RDP niet?

Een normale ping gebruikt kleine pakketten. Grotere TCP-segmenten kunnen nog steeds worden gefragmenteerd of verworpen. Daarom zijn DF-tests met gedocumenteerde groottes en een echte applicatietest nodig.

Moet MTU of MSS bij elke VPN worden gewijzigd?

Nee. Standaardwaarden werken in veel omgevingen. Een wijziging is alleen zinvol als het pad, de pakketgroottes en reproduceerbare tests een MTU- of MSS-probleem aantonen.