MTU avec WireGuard : je n’ai réduit la taille des paquets qu’après avoir vu le tunnel fonctionner… puis les gros transferts se bloquer

WireGuard fonctionnait. C’était justement ce qui m’a fait perdre presque une heure. Le handshake était récent. Je pouvais ouvrir une session SSH sur mon serveur. Les commandes courtes répondaient immédiatement. Un ping passait sans difficulté. Puis j’ai essayé de récupérer une archive de plusieurs centaines de mégaoctets.

Le transfert a démarré, ralenti, puis s’est immobilisé. J’ai ouvert l’interface web de mon NAS. La page est apparue, mais certaines images tournaient indéfiniment. Une autre page légère fonctionnait parfaitement. Mon premier diagnostic a été le mauvais : serveur surchargé. J’ai redémarré le service.

Même résultat. Ensuite, j’ai accusé le réseau mobile que j’utilisais ce jour-là. Sans WireGuard, pourtant, le fichier descendait normalement. Avec le tunnel : blocage.

Ce n’était donc pas un VPN qui refusait de se connecter. C’était plus agaçant : un VPN suffisamment fonctionnel pour me convaincre que le problème était ailleurs.

Le même ordinateur ne prenait plus toujours le même chemin

Ce détail compte davantage aujourd’hui qu’il y a quelques années.

Dans son rapport publié en juillet 2026, l’Arcep indiquait que l’IPv6 était activé chez 94 % des clients fixes grand public français et 83 % des clients mobiles. Sur mobile, les architectures diffèrent encore selon les opérateurs et certaines connexions combinent IPv6 avec des mécanismes permettant toujours d’atteindre les services restés en IPv4.

Cela ne veut pas dire qu’IPv6 « casse WireGuard ».

Cela veut surtout dire qu’entre ma fibre, un partage de connexion, une box 5G et le Wi-Fi d’un client, mes paquets ne suivent pas forcément la même route ni les mêmes contraintes.

Et la MTU appartient justement à ce chemin. La MTU, Maximum Transmission Unit, est la taille maximale qu’un paquet peut atteindre avant de devenir trop gros pour un maillon du trajet. Je l’ai finalement comprise comme une série de portes.

Mon ordinateur prépare un carton. WireGuard ajoute son propre emballage autour. Si une porte plus loin est plus étroite, il faut soit que le réseau s’en aperçoive et adapte le colis, soit que quelque chose coince.

Quand cette adaptation fonctionne, je n’ai rien à faire. Quand elle échoue, le résultat peut être trompeur : les petits paquets passent encore, les gros disparaissent. Et c’était exactement ce que j’avais devant moi.

Le tunnel était connecté, mais seulement les petits échanges passaient

La documentation de wg-quick m’a d’abord évité une erreur assez classique : 1420 n’est pas un nombre sacré qu’il faut conserver ou recopier partout.

Lorsqu’aucune MTU n’est définie manuellement, wg-quick tente de choisir une valeur adaptée à partir de la route vers le pair ou de la route par défaut. Son comportement automatique convient donc dans beaucoup de situations.

Je n’avais aucune raison de remplacer cette valeur simplement parce qu’un forum disait « mets 1380 ».

Ce qui justifiait de tester la MTU, c’était le comportement du tunnel :

le handshake fonctionnait ; les petites requêtes passaient ; les échanges plus volumineux se figeaient.

Le mécanisme est connu depuis longtemps. Lorsqu’un paquet devient trop gros pour un segment du chemin et que l’information permettant à l’émetteur de réduire sa taille ne revient pas correctement, on peut obtenir ce que la documentation réseau appelle un « trou noir » de Path MTU. La connexion semble vivante, puis les véritables données commencent à disparaître.

Tout à coup, mes symptômes avaient une logique. Je ne cherchais plus à « réparer WireGuard ». Je cherchais à vérifier si mes gros paquets étaient simplement trop gros pour une partie du trajet.

J’ai réduit la MTU — mais je cherchais une preuve, pas un nombre magique

J’ai commencé par tester ce que le chemin acceptait réellement, puis j’ai réduit progressivement la MTU de l’interface WireGuard. Je ne suis pas passé directement à 1280 parce qu’Internet adore 1280. Je voulais voir à quel moment le comportement changeait. À 1420, mon gros transfert se bloquait encore.

Plus bas, il a cessé de s’arrêter. J’ai relancé l’archive depuis le début. 10 %. 23 %.

41 %. Je m’attendais à retrouver le même mur. 67 %. 82 %.

100 %. Puis j’ai rechargé l’interface du NAS qui restait partiellement vide quelques minutes auparavant. Tout s’est affiché.

À cet instant, réduire la MTU n’était plus une superstition de forum. C’était une modification qui avait corrigé précisément le symptôme que je cherchais à expliquer.

Une expérience publiée en mars 2026 racontait un problème comparable : WireGuard fonctionnait en Wi-Fi mais devenait inutilisable sur les données mobiles d’un téléphone Android, avant qu’une réduction de MTU ne stabilise le tunnel.

Mais c’est justement là que j’ai compris pourquoi copier la valeur de quelqu’un d’autre n’est pas un diagnostic.

Dans une autre discussion publique, un utilisateur voyait son tunnel établir son handshake sur un Wi-Fi public sans réussir à transporter correctement les données. Une MTU de 1280 lui a été suggérée.

Il l’a essayée. Cela n’a rien changé.

Cette comparaison m’a donné une règle beaucoup plus utile :

je réduis la MTU quand les symptômes désignent la taille des paquets, pas simplement quand WireGuard fonctionne mal.

Si le handshake ne se fait pas, si l’UDP est filtré, si les routes sont mauvaises ou si le DNS est cassé, diminuer encore la MTU ne réparera pas le mauvais problème.

Mon correctif fonctionnait toujours chez moi — et c’est là qu’il m’a moins plu

J’aurais pu arrêter l’histoire ici. MTU réduite. Transfert terminé. Problème réglé.

Puis je suis rentré chez moi. Même ordinateur. Même configuration WireGuard. Mais de nouveau sur ma fibre.

La valeur plus basse fonctionnait toujours. C’est le côté rassurant d’une MTU prudente : de plus petits paquets ont davantage de chances de franchir un chemin étroit.

Seulement, plus petit n’est pas automatiquement meilleur. Une MTU inutilement basse signifie aussi davantage de paquets pour transporter la même quantité de données. Pour quelqu’un qui administre un tunnel fixe entre deux réseaux connus, mesurer puis régler correctement la valeur reste parfaitement logique. Mon cas commençait pourtant à être différent.

Je travaillais parfois chez moi. Parfois en partage de connexion. Parfois sur le réseau d’un client.

Et je venais de comprendre que ma configuration WireGuard faisait de moi la personne chargée d’adapter le tunnel aux particularités de chacune de ces routes.

J’aime comprendre pourquoi un réseau casse. J’aime beaucoup moins devoir le comprendre cinq minutes avant d’envoyer un fichier.

La question a donc changé : je ne cherchais plus la MTU idéale. Je voulais savoir si je pouvais éviter d’avoir à y penser chaque fois que le réseau changeait.

C’est à ce moment-là que j’ai essayé OnlydogVPN^↗.

J’ai refait exactement le transfert qui m’avait envoyé dans les réglages

J’ai repris le réseau mobile qui avait déclenché tout le diagnostic. J’ai désactivé mon tunnel WireGuard pour ne pas mélanger les deux tests. Puis j’ai ouvert l’application, choisi le mode adapté au réseau devant moi et connecté. Je suis retourné sur mon NAS.

L’interface s’est chargée. J’ai lancé une archive comparable à celle qui s’était figée auparavant. Cette fois, je n’ai touché ni à une MTU, ni à une route, ni à un fichier de configuration. 25 %.

50 %. Le transfert avait déjà dépassé l’endroit où mon premier tunnel commençait à se comporter bizarrement. 75 %. 100 %.

J’ai ensuite fermé l’ordinateur, changé d’endroit et recommencé depuis une autre connexion. Je n’ai pas eu à recalculer la taille des paquets avant de reprendre mon travail.

C’était exactement le résultat que je cherchais.

Le service utilise un transport basé sur HTTP/3. Sous HTTP/3 se trouve QUIC, un protocole capable de tenir compte de la taille de paquets réellement supportée par un chemin et de s’adapter quand ce chemin évolue. La spécification prévoit explicitement cette gestion de la Path MTU.

En clair, là où mon tunnel WireGuard personnel m’avait obligé à sortir le mètre pour vérifier la largeur de la porte, cette couche d’adaptation restait derrière l’application.

Ce n’est pas une promesse que tout problème de MTU disparaîtra sur n’importe quel réseau. Mais dans le réseau qui m’avait posé problème, la différence était très concrète : avec mon WireGuard, j’avais dû identifier puis corriger la taille manuellement ; avec ce service, le transfert s’est terminé sans que j’aie à administrer ce paramètre.

Les essais publiés autour du service montrent le même choix de conception : le transport HTTP/3 est utilisé précisément pour mieux supporter les connexions faibles ou changeantes.

Je n’ai pas désinstallé WireGuard

Ce serait la mauvaise conclusion.

Pour relier deux réseaux que j’administre, entrer chez moi à distance ou construire une infrastructure dont je veux contrôler précisément les paramètres, WireGuard reste un excellent outil.

Et wg-quick sait déjà choisir automatiquement une MTU raisonnable dans de nombreux cas. Mais j’ai arrêté de confondre deux besoins. Quand je veux administrer mon tunnel, trouver la bonne MTU fait partie du travail.

Quand je veux simplement que mon VPN continue à fonctionner en passant de ma fibre au mobile puis à un Wi-Fi extérieur, je préfère que l’adaptation du transport soit prise en charge par l’application plutôt que par moi.

Le service garde un compromis clair : son choix de régions est plus réduit et son historique public plus court que celui des grands fournisseurs établis. Si ma priorité était une longue liste de pays ou des années d’évaluations indépendantes, je regarderais ce point de près.

Mais ce n’était pas ce qui m’avait fait chercher « MTU WireGuard ». Je cherchais à comprendre pourquoi un tunnel parfaitement connecté pouvait laisser passer une commande SSH et abandonner au milieu d’un gros fichier.

La réponse que je garde est précise :

je réduirais la MTU de WireGuard lorsque le handshake fonctionne, que les petits échanges passent, mais que les grosses réponses, certains sites ou les transferts se figent — surtout si une réduction de taille améliore immédiatement et de façon reproductible le comportement.

Je ne descendrais pas systématiquement à 1380 ou 1280 au premier problème.

Et si je devais refaire ce diagnostic à chaque changement entre fibre, réseau mobile et Wi-Fi extérieur, je me demanderais surtout si j’ai encore envie d’administrer moi-même le tunnel.

Ce jour-là, une MTU plus basse a réparé mon WireGuard.

Ce qui m’a finalement fait changer d’outil, c’est d’avoir compris que je ne voulais pas mesurer la largeur de la prochaine porte chaque fois que mon ordinateur changeait de réseau.

Sources