ค่า MTU ของ VPN ทำให้เน็ตมีปัญหาได้อย่างไร

ไม่มีอะไรน่างงเท่ากรณีที่ VPN เชื่อมต่ออยู่ชัดเจน แต่บางเว็บเปิดทันที ส่วนบางเว็บหมุนไม่จบ ผลค้นหาโหลดได้ แอปแชตใช้ได้ แต่หน้าที่มีรูปใหญ่หรือการอัปโหลดไฟล์กลับค้างเฉย ๆ พอปิด VPN ทุกอย่างปกติ พอเปิดใหม่หน้าเดิมก็ค้างอีก เมื่อเจออาการแบบนี้ การตั้งค่าเงียบ ๆ ตัวหนึ่งที่เรียกว่า MTU เป็นผู้ต้องสงสัยลำดับต้น ๆ

บทความนี้อธิบาย MTU ด้วยภาษาง่าย ๆ ว่าทำไม VPN จึงทำให้เกิดปัญหานี้ได้บ่อยขึ้น อาการอะไรที่ชี้มาทางนี้ และวิธีทดสอบด้วยคำสั่ง ping ที่มีอยู่แล้วในคอมพิวเตอร์ของคุณ รวมถึงวิธีแก้ที่ควรลองและวิธีที่มีแต่ทำให้แย่ลง คุณไม่จำเป็นต้องเป็นวิศวกรเครือข่ายก็ตามได้ และบทความนี้จะไม่ให้คุณเปลี่ยนอะไรที่ย้อนกลับไม่ได้

MTU คืออะไร และทำไม VPN ทำให้เล็กลง

ข้อมูลข้ามอินเทอร์เน็ตเป็นแพ็กเก็ต ลิงก์เครือข่ายแต่ละช่วงตามเส้นทางมีขนาดแพ็กเก็ตสูงสุดที่ส่งผ่านได้ในก้อนเดียว เรียกว่า maximum transmission unit หรือ MTU บน Ethernet และ Wi-Fi ทั่วไป MTU มักอยู่ที่ 1500 ไบต์ บางการเชื่อมต่อใช้น้อยกว่านั้น สายที่ใช้ PPPoE ซึ่งพบในบริการไฟเบอร์หรือ DSL บางแบบ มักมี MTU 1492 เพราะส่วนหัว PPPoE กินไป 8 ไบต์ เครือข่ายมือถือและอุโมงค์บางชนิดก็ใช้ค่าอื่นอีก

VPN ทำงานโดยรับแพ็กเก็ตของคุณ เข้ารหัส แล้วใส่ผลลัพธ์ไว้ในแพ็กเก็ตใหม่ที่ส่งไปยังเซิร์ฟเวอร์ VPN ชั้นห่อด้านนอกนี้กินพื้นที่ ขึ้นกับโปรโตคอลและว่าวิ่งบน IPv4 หรือ IPv6 ส่วนเกินนี้มักอยู่ราว 40 ถึง 100 ไบต์ ดูแนวคิดทั่วไปได้ในบทความ โปรโตคอล VPN คืออะไร และเว็บไซต์ WireGuard เผยแพร่โครงสร้างแพ็กเก็ตของการออกแบบนั้นไว้

เลขคณิตง่ายมาก ถ้าลิงก์รับ 1500 ไบต์ และชั้นห่อกินไป 80 แพ็กเก็ตเดิมข้างในอุโมงค์ก็ได้ประมาณ 1420 ไบต์เท่านั้น ถ้าอุปกรณ์ของคุณยังสร้างแพ็กเก็ต 1500 ไบต์เข้าอุโมงค์ ผลที่ห่อแล้วจะใหญ่เกินลิงก์ และต้องถูกแบ่งหรือถูกทิ้ง ซอฟต์แวร์ VPN ที่ดีจะตั้ง MTU ของอุโมงค์ให้ต่ำลงเองเพื่อกันเรื่องนี้ เมื่อค่าไม่ตรงกับเส้นทางจริง ก็เกิดอาการตามด้านล่าง

แพ็กเก็ตหายไปอย่างไร หลุมดำ

แพ็กเก็ตที่ใหญ่เกินลิงก์จัดการได้สองแบบ แบบแรกคือแตกชิ้น (fragment) คือหั่นเป็นชิ้นเล็กแล้วประกอบกลับที่ปลายทาง แบบที่สองคือถ้าผู้ส่งทำเครื่องหมาย "ห้ามแตกชิ้น" เราเตอร์ต้องทิ้งแพ็กเก็ตและส่งประกาศเล็ก ๆ กลับมาว่าใหญ่เกินไปและขนาดเท่าไรจึงพอดี ผู้ส่งจะลองใหม่ด้วยแพ็กเก็ตที่เล็กลง กลไกป้อนกลับนี้เรียกว่า Path MTU Discovery และอธิบายไว้ใน RFC 1191

กลไกนี้พึ่งพาให้ประกาศ "ใหญ่เกินไป" มาถึงผู้ส่ง ไฟร์วอลล์ เราเตอร์ และเครือข่ายที่ตั้งค่าไม่ดีบางแห่งบล็อกประกาศเหล่านั้น ผู้ส่งจึงไม่มีวันรู้ว่าแพ็กเก็ตใหญ่ถูกทิ้ง มันก็ส่งซ้ำไปเรื่อย ๆ และไม่มีอะไรไปถึง แพ็กเก็ตเล็กผ่านได้ปกติ การเชื่อมต่อจึงดูเหมือนยังมีชีวิตครึ่งหนึ่ง วิศวกรเรียกว่าหลุมดำ (black hole) ซึ่งอธิบายอาการเลือกที่ของปัญหา คือการทักทายตอนเริ่มและคำขอสั้น ๆ พอดี แต่คำตอบใหญ่ก้อนแรกไม่พอดี

อาการที่ชี้มาทาง MTU

ปัญหา MTU มีรูปแบบที่จำได้ ข้อใดข้อเดียวพิสูจน์ไม่ได้ แต่หลายข้อรวมกันเป็นสัญญาณที่แรง

• บางเว็บใช้ได้ บางเว็บค้าง มักเริ่มโหลดแล้วหยุดนิ่ง
• การอัปโหลดค้าง ที่จุดเดิมซ้ำ ๆ หรืออีเมลที่มีไฟล์แนบใหญ่ไม่ออกจากกล่องส่ง ทั้งที่อีเมลสั้นส่งได้
• วิดีโอคอลต่อได้แต่ภาพค้าง หรือเริ่มแล้วหลุด ขณะที่แชตข้อความปกติ
• เซสชันรีโมต เช่น SSH หรือรีโมตเดสก์ท็อปล็อกอินได้ แล้วค้างเมื่อคำสั่งพิมพ์ข้อความยาว
• ปัญหาตามเครือข่าย ไม่ตามเครื่อง เกิดบนเน็ตบ้านสายหนึ่งหรือ Wi-Fi โรงแรมแห่งหนึ่ง และหายเมื่อใช้เน็ตมือถือ
• VPN ต่อติดทันทีและขึ้นว่าเชื่อมต่อแล้ว แปลว่า handshake ปกติ ซึ่งต่างจาก กรณี handshake ล้มเหลว ที่อุโมงค์ไม่เคยเปิด
• ปิด VPN แล้วหาย เพราะเมื่อไม่มีชั้นห่อ แพ็กเก็ต 1500 ไบต์ปกติก็พอดี

อาการที่ไม่ชี้มาทาง MTU ได้แก่ ความช้าที่คงที่ การขาดการเชื่อมต่อทั้งหมด และเว็บไซต์เดียวเสียในขณะที่ทุกอย่างอื่นปกติ กรณีเหล่านี้ให้เริ่มจาก เว็บบางเว็บเปิดไม่ได้เมื่อใช้ VPN หรือ VPN ต่อติดแต่เข้าเน็ตไม่ได้

ทดสอบเองด้วย ping

คุณหาขนาดแพ็กเก็ตที่ใช้ได้ด้วยคำสั่ง ping ในเครื่อง ping ให้กำหนดขนาดข้อมูลในแต่ละแพ็กเก็ตและห้ามแตกชิ้นได้ แพ็กเก็ตบนสายเท่ากับขนาดข้อมูลบวกส่วนหัว 28 ไบต์ (20 ของ IP และ 8 ของ ICMP) ดังนั้นเพื่อทดสอบ MTU 1500 ให้ส่งข้อมูล 1472 ไบต์

ทดสอบ ขณะเปิด VPN กับชื่อเว็บไซต์ที่รู้จักทั่วไป ใช้คำสั่งตามระบบของคุณ

ระบบ	คำสั่ง (แทน SIZE)
Windows	ping -f -l SIZE example.com
macOS	ping -D -s SIZE example.com
Linux	ping -M do -s SIZE example.com

เริ่มที่ 1472 ถ้าได้คำตอบกลับ แปลว่าเส้นทางรับแพ็กเก็ต 1500 ไบต์ได้ และปัญหาน่าจะไม่ใช่ MTU ถ้าเจอข้อความอย่าง "Packet needs to be fragmented but DF set" หรือไม่ได้อะไรเลย ให้ลด SIZE แล้วลองใหม่ ลำดับที่เหมาะคือ 1472, 1452, 1432, 1412, 1392, 1372 หยุดที่ขนาดใหญ่สุดที่ได้คำตอบ จากนั้นถ้าต้องการละเอียด ให้ไล่ทีละ 10 แล้วทีละ 2

เอาขนาดข้อมูลสูงสุดที่ใช้ได้บวก 28 ผลรวมคือ MTU ของเส้นทาง เช่น ถ้า 1392 ใช้ได้และ 1412 ใช้ไม่ได้ MTU ที่ใช้ได้จะอยู่ระหว่าง 1420 ถึง 1440 ค่าใกล้ 1420 ขณะเปิด VPN ถือว่าปกติ ค่าที่ต่ำกว่านั้นมาก เช่น 1300 ชี้ว่าเครือข่ายมีอุโมงค์เพิ่มหรือลิงก์ที่จำกัดอยู่ระหว่างทาง

ข้อควรระวังสองข้อ ข้อแรก เครือข่ายบางแห่งบล็อก ping ทั้งหมด ถ้าไม่มีคำตอบเลยในทุกขนาด แปลว่าการทดสอบใช้ไม่ได้ ไม่ใช่ว่า MTU เป็นศูนย์ ข้อสอง ping วัดเส้นทางไปยังโฮสต์นั้น เส้นทางไปเซิร์ฟเวอร์ VPN อาจต่างออกไป ให้ถือผลเป็นแนวทาง

วิธีแก้ที่ควรลอง เรียงตามลำดับ

ไล่จากตัวเลือกที่ปลอดภัยและถูกที่สุดไปหาตัวที่ยุ่งยากกว่า

1. เปลี่ยนวิธีเชื่อมต่อหรือโลเคชันในแอป VPN วิธีต่างกันห่อแพ็กเก็ตต่างกัน และเส้นทางเซิร์ฟเวอร์ที่ต่างออกไปอาจเลี่ยงลิงก์ที่แคบได้ ย้อนกลับได้และใช้เวลาไม่กี่วินาที บทความ WireGuard กับ OpenVPN อธิบายว่าทำไมส่วนเกินต่างกัน
2. เปลี่ยนเครือข่าย ลองเน็ตมือถือหรือ Wi-Fi อื่น ถ้าปัญหาหาย แปลว่าลิงก์เดิมเป็นสาเหตุ และคุณตัดสินใจได้ว่าจะตามเรื่องกับเจ้าของเครือข่ายหรือไม่
3. รีสตาร์ตเราเตอร์และอุปกรณ์ สถานะค้างในเราเตอร์อาจจำค่าผิดของเส้นทางไว้
4. ดูในแอปว่ามีตัวเลือก MTU หรือขนาดแพ็กเก็ตหรือไม่ ถ้ามี ให้ลดทีละขั้นตามค่าจากการทดสอบ ping และทดสอบหน้าที่มีปัญหาซ้ำหลังเปลี่ยนทุกครั้ง ถ้าแอปของคุณไม่มีตัวเลือกนี้ อย่าไปหาวิธีลัดที่ซ่อนอยู่ ให้ใช้วิธีเชื่อมต่อที่ระบุในหน้า My Pass
5. ถ้าคุณดูแลเราเตอร์เอง คุณอาจตั้ง MTU ที่เล็กลงบนอินเทอร์เฟซฝั่งอินเทอร์เน็ต หรือเปิดฟีเจอร์ที่มักเรียกว่า MSS clamping ซึ่งลดขนาดที่ประกาศในการเชื่อมต่อใหม่ จดค่าเดิมก่อนเปลี่ยน เปลี่ยนทีละอย่าง และเก็บค่าเก่าไว้เผื่อคืนค่า
6. อัปเดตแอป เวอร์ชันใหม่บางครั้งเลือกค่าเริ่มต้นได้ดีกว่า

สิ่งที่ไม่ควรทำก็ควรระบุไว้ อย่าตั้ง MTU ต่ำจิ๋ว "เพื่อความปลอดภัย" อย่าเปลี่ยน MTU ของการ์ดเครือข่ายหลักโดยไม่จดเลขเดิม และอย่าทำตามคู่มือที่บอกให้ปิดไฟร์วอลล์ทั้งหมด

ค่าทั่วไปไว้เทียบ

ค่าเหล่านี้พบบ่อยแต่ไม่แน่นอน ใช้ประเมินว่าผลทดสอบ ping ของคุณดูปกติหรือไม่

ชนิดลิงก์	MTU ที่พบบ่อย	หมายเหตุ
Ethernet และ Wi-Fi ส่วนใหญ่	1500	จุดเริ่มต้นมาตรฐาน
บรอดแบนด์ PPPoE	1492	ส่วนหัว PPPoE กิน 8 ไบต์
อุโมงค์ VPN ทั่วไปบนลิงก์ 1500	ประมาณ 1380-1440	ขึ้นกับโปรโตคอลและเวอร์ชัน IP
อุโมงค์บนลิงก์ PPPoE	ประมาณ 1370-1420	การลดสองชั้นบวกกัน
เครือข่ายมือถือบางราย	1400-1500	ต่างกันตามผู้ให้บริการ

ถ้าผลของคุณใกล้เคียงกับตัวเลขของชนิดลิงก์ที่ใช้ แปลว่า MTU ทำงานตามที่คาด และควรมองหาสาเหตุอื่นของปัญหา

ตัวอย่างสถานการณ์จริง

คนทำงานที่บ้านที่เว็บโหลดครึ่งหน้า ดาน่าทำงานที่บ้านบนไฟเบอร์ที่ใช้ PPPoE เมื่อเปิด VPN เครื่องมือเว็บของบริษัทเปิดได้ แต่ตัวแก้ไขเอกสารค้างตอนบันทึก ping ที่ SIZE 1472 ล้มเหลว 1432 ล้มเหลว 1412 สำเร็จ MTU ของเส้นทางอยู่ราว 1440 เมื่อเปลี่ยนไปใช้วิธีเชื่อมต่ออื่นในแอปก็หายค้าง ชี้ว่าส่วนเกินของวิธีแรกเกินกว่าที่สายแคบรับได้

นักเดินทางที่วิดีโอคอลค้าง ลีโอเชื่อม Wi-Fi โรงแรม ข้อความส่งได้ แต่วิดีโอคอลค้างหลังไม่กี่วินาที บนฮอตสปอตโทรศัพท์คอลปกติ สาเหตุอยู่ที่เครือข่ายโรงแรม และเมื่อเปลี่ยนไม่ได้ เขาใช้ฮอตสปอตสำหรับคอล และเก็บ Wi-Fi โรงแรมไว้เปิดเว็บเบา ๆ

นักศึกษาที่อัปโหลดไม่จบ ไมพยายามส่งไฟล์ใหญ่ผ่านพอร์ทัลมหาวิทยาลัย แถบความคืบหน้าติดที่จุดเดิมทุกครั้ง การทดสอบ ping แสดงเส้นทางปกติ ปัญหาไม่ใช่ MTU แต่พอร์ทัลหมดเวลาเอง เธอเรียนรู้ว่าควรทดสอบก่อนแก้การตั้งค่า และรอดจากการแก้เราเตอร์ที่เสี่ยง

ข้อผิดพลาดที่พบบ่อย

• มองว่าทุกหน้าที่ช้าคือปัญหา MTU MTU ทำให้ค้างและล้มแบบเลือกที่ ไม่ใช่ช้าคงที่ ถ้าแค่ช้า ให้อ่าน ทำไม VPN ถึงช้า
• ทดสอบตอนปิด VPN ต้องทดสอบขณะเชื่อมต่อ VPN ไม่เช่นนั้นตัวเลขเป็นของเส้นทางผิด
• ลืมส่วนหัว 28 ไบต์ ขนาดข้อมูล ping ไม่ใช่ MTU ต้องบวก 28
• เปลี่ยนหลายค่าพร้อมกัน แยกไม่ออกว่าอะไรช่วย และอาจทิ้งค่าที่เป็นอันตรายไว้
• ลดต่ำเกินไป MTU เล็กมากทำให้ทุกการโอนแบกส่วนเกินมากขึ้น ให้เล็งค่าใหญ่ที่สุดที่ใช้ได้ แล้วหยุด
• แก้เราเตอร์ของที่ทำงานหรือโรงเรียน ถ้าไม่ใช่เครือข่ายของคุณ ให้แจ้งอาการต่อผู้ดูแลแทน

ข้อจำกัดของคำแนะนำนี้

MTU เป็นเพียงสาเหตุเดียวของอาการเว็บล้มแบบเลือกที่ สาเหตุอื่นได้แก่ปัญหา DNS เว็บที่ไม่ชอบที่อยู่ที่คุณใช้ ส่วนขยายเบราว์เซอร์ หรือแอปที่มีตัวกรองของตัวเอง ถ้าการทดสอบ ping แสดงเส้นทางปกติแต่อาการยังอยู่ MTU น่าจะไม่ใช่สาเหตุ และควรไปดูอย่างอื่นแทนการปรับต่อ

ผลลัพธ์ยังเปลี่ยนได้ วิธีที่ได้ผลบนเครือข่ายหนึ่งอาจไม่ช่วยบนอีกเครือข่าย และเน็ตมือถือที่เคลื่อนที่อาจเปลี่ยนเส้นทางระหว่างที่คุณใช้งาน สำหรับแนวคิดทั่วไปเรื่องการทำให้ลิงก์นิ่ง ดู ปรับปรุงความเสถียรของการเชื่อมต่อ VPN

สรุป

MTU คือแพ็กเก็ตที่ใหญ่ที่สุดซึ่งลิงก์เครือข่ายส่งผ่านได้ในก้อนเดียว VPN ห่อแพ็กเก็ตด้วยข้อมูลเพิ่ม อุโมงค์จึงต้องใช้ขนาดเล็กลง และเมื่อเส้นทางทิ้งแพ็กเก็ตที่ใหญ่เกิน บางหน้าและการอัปโหลดจะค้างในขณะที่คำขอเล็กใช้ได้ ให้ยืนยันรูปแบบอาการ ทดสอบด้วย ping พร้อมแฟลกห้ามแตกชิ้นและบวก 28 ไบต์เพื่อหาขนาดเส้นทาง แล้วลองวิธีที่ย้อนกลับได้ก่อน คือเปลี่ยนวิธีเชื่อมต่อ เปลี่ยนเครือข่าย รีสตาร์ตเราเตอร์ และค่อยปรับ MTU เล็กน้อยพร้อมจดค่าไว้ หากอยากลองแพ็กระยะสั้นเพื่อทดสอบวิธีเชื่อมต่อบนอุปกรณ์ของคุณ ดูตัวเลือกได้ที่ หน้าราคา และ หน้าดาวน์โหลด มีแอป VPNclient ทางการ