隧道一多，MTU 就自己消失了

单层隧道改 MTU 是常识，但多层嵌套时几乎没人重新计算。IPsec 再套 GRE、再套一层 VXLAN，头部开销加起来能到 100 字节以上。

症状是大包静默丢弃，表现为 SSH 能连、小请求正常、传文件卡在某个点。而 ping 因为默认包小，永远正常，容易得出「网络没问题」的错误结论。

排查要用 ping 的 -M do 逐步试探，或者直接抓包找重复的相同长度报文。找到临界值之后，减去所有封装开销，才是接口该设的 MTU。

更稳妥的做法是在隧道入口做 MSS clamp，让 TCP 自己降到安全值，不必依赖路径上的 ICMP。