パケットを分断する罪と罰：IPフラグメンテーションが蝕むモダン・ネットワークの深淵
ネットワークエンジニアとして現場を渡り歩いていると、往々にして「なぜか特定の通信だけが通らない」「SSLハンドシェイクが中途半端にタイムアウトする」という怪奇現象に遭遇する。パケットキャプチャを開き、Wiresharkのタイムラインを眺めれば、そこには決まってフラグメンテーションの残骸が散らばっている。
今日は、現代のゼロトラスト環境やハイパフォーマンスなクラウドインフラにおいて、IPヘッダーの Flags と Fragment Offset がどのように私たちの通信を翻弄し、あるいは救っているのか、その深淵に迫りたい。
1. フラグメンテーションという「パンドラの箱」
IPレイヤーにおけるフラグメンテーションとは、送出側の MTU（Maximum Transmission Unit）が経路上のどこかでサポートできないサイズを超えた際、ルーターが泣く泣くパケットを切り刻む行為だ。
ここで鍵となるのがIPヘッダー内の3つのフィールドだ。
- DF (Don’t Fragment) フラグ: 「分割するな」という強烈な意志表示。これが立っているパケットが
MTUを超えると、ルーターは分割を諦め、ICMP Destination Unreachable (Fragmentation Needed)を返す。 - MF (More Fragments) フラグ: 「まだ続きがあるぞ」という信号。最後のフラグメント以外はこれが
1になる。 - Fragment Offset: 分割されたデータが、元のパケットのどの位置にあるのかを示す地図。8オクテット単位で刻まれる。
一見すると親切な仕組みだが、現場ではこれが「悪夢」の入り口になる。
2. PMTUDの死角とブラックホール化
現代のインターネットにおいて、フラグメンテーションは「悪」だ。なぜなら、中継ルーターでパケットを切り刻むCPUコストは馬鹿にならず、何より一部のフラグメントが欠落しただけで、再構築の試行がすべて水泡に帰すからだ。
ここで登場するのが Path MTU Discovery (PMTUD) である。DF フラグを立ててパケットを送り出し、ICMP で拒絶されたら MTU を下げて再送する。非常に論理的だが、セキュリティがこの設計を殺す。
多くのファイアウォールやIDS/IPSが、セキュリティポリシーとして ICMP を全拒否している。結果、Fragmentation Needed メッセージが届かず、送信元は「相手が生きているはずなのに応答がない」という、いわゆるPMTUDブラックホールに陥る。
実践：MSSクランプによる強引な解決
現場の泥臭い対処法として、TCP通信であれば MSS（Maximum Segment Size）を強制的に調整する手法が一般的だ。これにより、IPレベルでの分割を未然に防ぐ。
# iptablesを用いてMSSを1400バイトに固定する例
# 1400 + 20(TCP) + 20(IP) = 1440。VPNやトンネルを通す際、MTU不足を防ぐ切り札
iptables -t mangle -A FORWARD -p tcp --tcp-flags SYN,RST SYN -j TCPMSS --set-mss 14003. トランスポートセキュリティ(TLS)とフラグメンテーションの相性
TLS 1.3が普及し、ハンドシェイクが高速化された今、このフラグメンテーション問題は深刻さを増している。特に Client Hello のサイズは、証明書のチェーン長や拡張フィールド（extension）によって肥大化しやすく、これが MTU を超えると、途端に接続が確立できなくなる。
また、AES-GCM や ChaCha20 といった強力な暗号スイートは、パケット単位の整合性を強く求める。パケットが途中で分断され、再構築が遅延したり、順序が入れ替わったりすると、TCPバッファの枯渇を招き、RTT（Round Trip Time）が急増する。
カーネルチューニングの極意
高負荷なWebサーバーにおいて、TCPバッファを最適化し、フラグメンテーションの悪影響を最小化するためのカーネルパラメータ例を挙げておく。
# /etc/sysctl.conf への追記例
# TCPの受信ウィンドウサイズを自動調整し、ボトルネックを回避する
net.ipv4.tcp_rmem = 4096 87380 16777216
net.ipv4.tcp_wmem = 4096 65536 16777216
# PMTUDブラックホールを検知し、自動的にMSSを縮小させるための設定
# 1: 有効, 2: 常に固定
net.ipv4.tcp_mtu_probing = 14. 結び：パケットを見つめるということ
「パケットは嘘をつかない」。これは私が駆け出しの頃に先輩から叩き込まれた教訓だ。
フラグメンテーションを単なる「仕様」として片付けるのではなく、それがなぜ起きているのか、どこの MTU がボトルネックなのか、あるいはセキュリティ機器が不当に遮断しているのではないか。そうした視点を持つことこそが、エンタープライズの現場で「動く」ネットワークを設計するための第一歩となる。
モダンなインフラにおいて、DF ビットを理解し、MSS を制御し、TCPスタックをチューニングする。これらは決して古臭い知識ではない。通信の根幹を支配する、最も現代的な技術者の教養なのだ。
次回のパケットキャプチャでは、ぜひ Flags カラムを凝視してみてほしい。そこには、あなたのアプリケーションが抱える「見えない壁」が、鮮明に映し出されているはずだ。
コメント