WireGuard lento? Como resolver perda de pacotes e MTU

Por que o WireGuard apresenta perda de pacotes na prática?

O WireGuard tornou-se o padrão ouro para redes virtuais privadas devido à sua simplicidade e desempenho estelar. No entanto, quando configurado sobre conexões de internet instáveis ou provedores com restrições severas, usuários frequentemente enfrentam conexões lentas ou travadas. Na prática, isso significa que pacotes de dados maiores simplesmente desaparecem no meio do caminho porque excedem o limite suportado pelo roteamento físico.

Antes de culpar a criptografia ou o consumo de CPU, precisamos entender que o tráfego encapsulado adiciona uma sobrecarga de cabeçalho. Se a rede física intermediária possui um limite rígido de tamanho de pacote, o excesso é descartado. Para investigar problemas complexos de conectividade, vale cruzar informações com técnicas abordadas quando aprendemos a diagnosticar perda de pacotes e latência alta com o mtr, mapeando cada salto da rota.

Entendendo o MTU e a fragmentação invisível

O MTU, ou Unidade Máxima de Transmissão, define o maior bloco de dados que pode ser enviado em um único pacote de rede. Na internet comum, o padrão costuma ser 1500 bytes. Quando criamos um túnel WireGuard, o pacote IP original ganha novos cabeçalhos de criptografia e encapsulamento UDP, exigindo mais espaço e elevando o tamanho total.

Se o caminho entre o seu computador e o servidor VPN passa por roteadores que não aceitam pacotes maiores que 1500 bytes sem fragmentação, e o WireGuard tenta enviar 1420 bytes mais o cabeçalho, o pacote estoura o limite. Como o protocolo UDP não lida nativamente com a remontagem automática da mesma forma que o TCP, o resultado é o silêncio absoluto ou páginas que nunca terminam de carregar.

Como diagnosticar o tamanho ideal de MTU no túnel

Para descobrir se o seu MTU está configurado incorretamente, precisamos realizar testes de envio forçando pacotes que não aceitam fragmentação. Isso é feito utilizando a ferramenta de ping do sistema operacional com parâmetros específicos de tamanho e restrição de divisão.

Na prática, execute o comando abaixo substituindo o endereço IP pelo destino do seu túnel e ajustando o tamanho do pacote até encontrar o ponto de quebra:

ping -M do -s 1372 10.0.0.1

Se o comando retornar mensagens informando que o pacote precisa ser fragmentado mas a opção impede ('frag needed'), significa que o valor está alto demais. Reduza o número de bytes subtraindo valores até que os disparos passem a responder normalmente sem erros.

Resolvendo problemas de handshake e portas bloqueadas

Outro problema clássico que gera perda intermitente de pacotes no WireGuard envolve falhas no handshake, que é a negociação inicial de chaves criptográficas. Como o WireGuard opera inteiramente sobre o protocolo UDP, firewalls corporativos agressivos ou operadoras de internet móvel podem bloquear ou limitar o tráfego dessa porta.

Quando o handshake falha silenciosamente, o túnel parece conectado, mas nenhum dado flui. Para inspecionar se os pacotes criptografados estão realmente trafegando e se há perda severa de quadros devido a rotas incorretas, você pode complementar sua análise com métodos descritos quando diagnosticamos loops de broadcast na rede com Wireshark para capturar e auditar o fluxo bruto na interface.

Passo a passo para ajustar o MTU e estabilizar a conexão

Para aplicar a correção definitiva do MTU na sua interface de rede virtual do WireGuard, siga o procedimento abaixo diretamente no servidor ou cliente afetado:

1. Abra o terminal com privilégios administrativos e edite o arquivo de configuração da interface WireGuard (geralmente localizado em /etc/wireguard/wg0.conf).
2. Na seção [Interface], adicione ou modifique a linha do MTU para um valor seguro e compatível, como 1360 ou 1280 (padrão IPv6 mínimo): MTU = 1360.
3. Reinicie o serviço da interface para aplicar as novas regras executando o comando de reinicialização do systemd.

sudo systemctl restart wg-quick@wg0

Essa alteração força o túnel a empacotar os dados em fatias menores que respeitam qualquer gargalo de infraestrutura intermediária, eliminando os descartes silenciosos. Para aprofundar esses conceitos na prática em produção, confira também nossa análise técnica sobre Como testar o clock da placa de vídeo com osciloscópio.

Considerações finais sobre resiliência em redes virtuais

Manter um túnel WireGuard saudável exige monitoramento constante da qualidade do enlace e atenção aos detalhes de camada de enlace. Pequenas mudanças na rota do seu provedor de internet podem alterar o caminho físico e exigir ajustes finos no MTU.

Ao compreender o impacto do encapsulamento e dominar as ferramentas de teste de pacotes, você garante uma infraestrutura de rede privada blindada contra quedas misteriosas e lentidões inexplicáveis.