Ein Endgerät kommuniziert über einen Site-to-Site-VPN-Tunnel mit einem entfernten Webserver. TCP-Verbindungen lassen sich aufbauen und kleine Seiten werden angezeigt, doch Downloads großer Dateien bleiben mittendrin stehen. Die MTU im Tunnel beträgt 1400 Byte, und der Server sendet 1500-Byte-Pakete mit verbotener Fragmentierung (DF-Bit auf 1). Außerdem ist die Firewall vor dem Server so eingestellt, dass sie jegliches ICMP verwirft. Was ist die wahrscheinlichste Ursache?

Antwort: C. Die ICMP-Meldungen, mit denen der Router, der die zu großen Pakete verwirft, die Notwendigkeit der Fragmentierung meldet, erreichen den Server nicht, sodass der Server seine Pakete nicht verkleinern kann

Bei Path MTU Discovery sendet die Quelle Pakete mit dem DF-Bit auf 1, und ein Router, der ein Paket verwirft, das größer als seine MTU ist, meldet die passierbare Größe in einer ICMP-Meldung (Fragmentation Needed bei IPv4, Packet Too Big bei IPv6). Verwirft die Firewall diese Meldungen, sendet der Server weiter große Pakete, die jedes Mal verworfen werden, sodass nur große Datenübertragungen stehen bleiben (ein Path-MTU-Black-Hole). Verbindungsaufbau und kleine Antworten verwenden Pakete unter 1400 Byte und kommen daher problemlos an. Abhilfe schafft es, diese ICMP-Meldungen nicht mehr zu verwerfen oder die TCP-MSS am Router am Tunneleingang auf einen kleineren Wert umzuschreiben. Bei je 20 Byte für den IPv4- und den TCP-Header ergibt eine MTU von 1400 Byte eine MSS von 1400 − 20 − 20 = 1360 Byte.