IPSECVPN的监控里，丢包显示MTU检测失败

ipsec MTU check failure丢包（现象就是可能IPSec传输大文件失败等），可能是IPSec报文不分片导致的；
A．ipsec global-df-bit命令用来为所有接口设置IPsec封装后外层IP头的DF位；
ipsec global-df-bit { clear | copy | set }中，clear：表示清除外层IP头的DF位，IPsec封装后的报文可被分片；copy：表示外层IP头的DF位从原始报文IP头中拷贝；set：表示设置外层IP头的DF位，IPsec封装后的报文不能分片；
IPSec报文不分片时，要求IPsec报文转发路径上各个接口的MTU大于IPsec报文长度，否则，会导致IPsec报文被丢弃。如果无法保证转发路径上各个接口的MTU大于IPsec报文长度，则建议清除DF位；
B．ipsec fragmentation命令用来配置IPsec分片功能；
ipsec fragmentation { after-encryption | before-encryption }中，after-encryption：表示开启IPsec封装后分片功能；before-encryption：表示开启IPsec封装前分片功能；
IPsec封装后分片功能处于开启状态时，无论报文封装后大小是否超过发送接口的MTU值，设备会直接对其先进行IPsec封装处理，再由后续业务对其进行分片；
C．ipsec MTU check error丢包，需要配置ipsec global-df-bit clear /ipsec fragmentation afer-encryption ，配置后看是否还有问题。

参考 ipsec故障排查：

https://zhiliao.h3c.com/theme/Chart?chartSearchKey=ipsec