Auf einem DMVPN-Spoke, der mit ip mtu 1400 konfiguriert ist, welcher Befehl aktiviert die Fragmentierung und die maximal ausgehandelte TCP MTU über GRE/IPsec?

Die korrekte Option ist "ip tcp adjust-mss 1360 crypto ipsec fragmentation after-encryption". Der Befehl ip tcp adjust-mss 1360 passt die TCP Maximum Segment Size (MSS) an, um Fragmentierung auf der Spoke-Seite zu vermeiden, indem er die effektive MTU für TCP-Verbindungen reduziert. Die Angabe crypto ipsec fragmentation after-encryption ist entscheidend, da sie dem Router anweist, Pakete nach der IPsec-Verschlüsselung zu fragmentieren. Dies ist die empfohlene Methode für DMVPN, um Probleme mit der Fragmentierung vor der Verschlüsselung zu vermeiden, die zu Paketverlusten führen können. Die Option mtu-discovery ist nicht ideal, da sie die Path MTU Discovery (PMTUD) aktiviert, was bei GRE/IPsec-Tunneln oft unzuverlässig ist und zu "Black-Hole"-Problemen führen kann, wenn ICMP-Nachrichten blockiert werden. ip tcp payload-mtu ist kein gültiger Befehl für diesen Zweck.