MTUの「見えない壁」を叩き割る：PMTUDの深淵とDFフラグの真実
データセンターの深夜、ふと異常を告げるアラートが鳴る。「特定の環境からのみ、TLSハンドシェイクがタイムアウトする」「大容量のファイル転送が特定のセグメントで死ぬ」。
経験を積んだエンジニアなら、ここで直感的に「MTUの不整合」を疑うはずだ。しかし、ただ「MTUを下げればいい」という短絡的な思考は、時にさらなるパフォーマンスの劣化やセキュリティ上の脆弱性を招く。今日は、ネットワークの深層心理を知る者だけが使いこなせる、pingのDFフラグ（Don’t Fragment）を用いた「Path MTU Discovery（PMTUD）」の極意について語ろう。
なぜDFフラグがエンジニアの武器になるのか
現代のネットワークは、パケットの断片化（Fragment）を極端に嫌う。ルーターがパケットを分割する処理は、CPUに対して非常に大きな負荷を強いる。特に、高スループットが求められるバックボーンにおいて、フラグメントはパフォーマンス殺しだ。
IPヘッダーのDF (Don't Fragment)ビットを立てるということは、ネットワーク機器に対し「分割するな、さもなくば捨てろ」と命じることと同義だ。この強気な姿勢こそが、Path MTUを正確に導き出す唯一の手段となる。
実践：DFフラグを用いたパス検証コマンド
Linux環境で、MTUサイズを可変させながら、断片化を許可せずにICMPを投げるコマンドは以下の通りだ。
# -M do: DFフラグをセットしてフラグメントを禁止する
# -s: ペイロードサイズを指定する（IPヘッダー20バイト + ICMPヘッダー8バイト = 28バイトが加算される）
# 1472バイトのペイロードを送る場合、合計1500バイトとなり、標準的なEthernet MTU限界を検証できる
ping -M do -s 1472 192.168.1.1もし、経路上のどこかのMTUが1500未満であれば、ルーターから ICMP Destination Unreachable (Fragmentation Needed) が返ってくる。これが、現場における「真実の回答」だ。
パケットレベルで何が起きているか
ここで、なぜこれがTLSハンドシェイクの成否に直結するのかを紐解く。
1. SYN/ACKの通過: TCPのハンドシェイク初期は小さなパケットであるため、MTU制限に引っかからない。
2. 証明書交換: サーバーからクライアントへ送られるTLS証明書は、往々にして数キロバイトに及ぶ。ここで一気にMTU限界を超えるパケットが流れる。
3. ブラックホール化: DFビットが立っているパケットがMTU制限にぶつかり、かつルーターがICMPによる通知（Path MTU Discovery）を遮断している（あるいはファイアウォールでICMPがドロップされている）場合、パケットは闇に消える。
4. 結果: クライアントはACKを待つが、パケットは届かず、TCP再送を繰り返した後にタイムアウトする。これが「なぜかハンドシェイクで止まる」現象の正体だ。
パフォーマンスを極限まで引き出すためのチューニング
単にMTUを下げて逃げるのは三流だ。インフラアーキテクトとして検討すべきは、以下のスタックの最適化である。
1. TCP MSS Clampingの検討
ルーターやロードバランサーで、TCPのMSS (Maximum Segment Size)を強制的に書き換えることで、Path MTUを意識させる。
# iptablesでの例：TCP SYNパケットのMSSを1400に固定する
iptables -t mangle -A FORWARD -p tcp --tcp-flags SYN,RST SYN -j TCPMSS --set-mss 14002. TCPバッファとウィンドウサイズ
MTUが最適化されても、tcp_rmemやtcp_wmemが適切でなければ、パイプライン効果は最大化されない。特に高RTT環境では、バッファを拡大し、BDP (Bandwidth Delay Product)を考慮したチューニングが必須だ。
# sysctl.confでの例：高スループット向けチューニング
net.ipv4.tcp_rmem = 4096 87380 16777216
net.ipv4.tcp_wmem = 4096 65536 16777216最後に：エンジニアとしての矜持
ネットワークのトラブルシューティングにおいて、一番の敵は「見えないもの」だ。pingでDFフラグを操ることは、単なるMTUチェックではない。それは、ネットワークという巨大な動脈を流れるパケットの挙動を可視化し、ブラックボックスを解明する儀式である。
教科書的な設定に甘んじず、パケットがルーターのバッファでどう処理され、なぜ断片化されるのか。その裏側にあるカーネルの挙動まで想像を巡らせてほしい。技術の深淵を覗く者だけが、真に安定したインフラを設計できるのだから。
コメント