---
id: case-vpn-mtu
title: "VPN: ping nhỏ OK, transfer lớn fail"
shortTitle: "VPN MTU"
track: cases
trackTitle: "Bài toán thực tế DevOps"
order: 3
level: important
status: published
estimatedMinutes: 25
prerequisites:
  - case-service-unreachable
reviewedAgainst: 2026-10-29
sources: []
---

# VPN: ping nhỏ OK, transfer lớn fail

Ping mặc định nhỏ qua tunnel vẫn OK; SCP hoặc API payload lớn đứng. Hay gặp sau nối hybrid, dễ oán CPU — thử MTU/MSS trước.

## Triệu chứng

Chỉ qua VPN; path khác bình thường. Ping `-s` lớn fail hoặc fragment lỗi.

<div class="shake">
<div class="shake-who">Client</div>
<div class="shake-who">Server</div>
<p class="shake-msg to-right"><span>TCP segment lớn</span><span class="shake-bar"></span><i>drop tại MTU tunnel</i></p>
<p class="shake-msg to-left"><span>Không ICMP PTB</span><span class="shake-bar"></span><i>black hole</i></p>
<p class="shake-after">MSS clamp hoặc hạ MTU interface tunnel.</p>
</div>

```bash
ping -M do -s 1472 10.30.1.4
ip link show tun0
```

Overlay CNI + VPN trừ thêm header — MTU 1500 trên node đôi khi không đủ.

## Thẻ ôn

### case-vpn-mtu-small-large
kind: distinguish
cue: "ping nhỏ OK" + "bulk fail" + "VPN"

Q: Khác ACL drop thế nào?

A: ACL thường chặn cả ping nhỏ; MTU thường ping nhỏ ok, TCP bulk kẹt — thử ping size lớn.