Маршрутизатор получает 1500-байтовую датаграмму. 1. Перед инкапсуляцией GRE разобьет 1500-байтовый пакет на две части: 1476 байт (1500 - 24 = 1476) и 44 байта (24 байта данных + 20 байтов IP-заголовок). 2. GRE выполнит инкапсуляцию IP-фрагментов, в результате чего каждый пакет увеличится на 24 байта. Таким образом получаются два пакета GRE + IPsec по 1500 (1476 + 24 = 1500) и 68 (44 + 24) байт каждый. 3. IPsec зашифровывает эти два пакета, добавляя к каждому пакету еще 52 байта (туннельный режим IPsec) служебной информации. Таким образом получаем два пакета размером 1552 байта и 120 байтов. 4. 5.
1552-байтовый пакет IPsec фрагментируется маршрутизатором, так как его величина превышает максимальный размер передаваемого блока данных для исходящих (1500). Пакет размером в 1552 байта разбивается на части, 1500-байтный пакет и 72- байтный пакет (52 байта полезной информации и дополнительно 20 байт – IP-заголовок второго фрагмента). Три пакета – 1500- байтовый, 72-байтовый и 120-байтовый – переадресуются на партнера IPsec + GRE. Принимающий маршрутизатор заново собирает два фрагмента IPsec (1500 байт и 72 байт), чтобы получить исходный пакет IPsec + GRE на 1552 байт. 120-байтный пакет IPsec + GRE не требует никаких операций. 6.
IPsec дешифрует 1552-байтный и 120-байтный пакеты IPsec + GRE, в результате чего получаются 1500-байтный и 68-байтный пакеты GRE. 7. GRE декапсулирует 1500-байтный и 68-байтный пакеты GRE, в результате чего получаются 1476-байтный и 44-байтный фрагменты пакетов IP. Эти фрагменты пересылаются на узел назначения. 8. Хост 2 собирает из этих IP-фрагментов исходную IP-датаграмму размером 1500 байт. 9. Сценарий 10 подобный сценарию 8, за исключением того, что соединение MTU в туннельной части имеет более низкую пропускную способность. Для первого пакета, отправляемого с узла 1 на узел 2, это «пессимистический» сценарий.
По завершении последнего этапа этого сценария узел 1 устанавливает для узла 2 корректное значение PMTU, и TCP-соединения между узлом 1 и узлом 2 приходят в норму. TCP-потокам, циркулирующим между узлом 1 и другими узлами (доступными через туннель IPsec + GRE), остается завершить три последних этапа сценария 10. В данном сценарии на GRE-туннеле настроена команда tunnel path-mtu-discovery , а в пакетах TCP/IP, отправляемых узлом 1, установлен бит DF. Сценарий 10