Ubuntu 20.04默认MTU1500下，SSH连接为何出现超1500字节数据包？

首先得理清不同层面的「数据包大小」概念：

• 你Ubuntu 20.04系统的MTU 1500是**链路层（如以太网）**的最大帧大小，扣除IP头（20字节）和TCP头（20字节）后，TCP能承载的应用层数据最大为 1500-20-20=1460 字节。
• 你在Wireshark里看到的「超过1500字节的数据包」，大概率是指应用层的SSH数据包（即SSH协议封装的整块数据），而非链路层的帧或网络层的IP包。

SSH本身的处理逻辑 #

SSH作为应用层协议，根本不关心底层的MTU限制——它会按照自身协议规范封装数据块（比如一次输出的命令结果、文件传输的批量数据等），这个数据块的大小可以远大于1500字节，比如用scp传大文件时，SSH一次可能封装几KB甚至十几KB的应用数据。

底层TCP的分段机制 #

当SSH把大的数据块交给TCP层后，TCP会自动将这些数据拆分成多个TCP分段，每个分段的有效载荷大小刚好适配MTU（也就是1460字节左右），之后每个分段会依次封装成IP包、以太网帧发送到网络中。

Wireshark显示「超大包」的原因 #

你在Wireshark里看到的超过1500字节的包，通常是Wireshark的重组功能导致的：它会把同一个TCP流的多个分段重新拼接成完整的SSH应用层数据块显示，方便你查看完整的SSH消息内容，而非显示单个的TCP分段。

特殊情况：IP分片 #

如果TCP的MSS（最大分段大小）协商出现问题，或者某些中间网络设备修改了MTU，可能会触发IP分片——此时IP层会把超过MTU的IP包拆分成多个小IP包发送，Wireshark同样会默认重组这些分片，显示完整的原始IP包大小。

总结：SSH只管自己的应用层数据封装，底层的大数据拆分、重组完全由TCP和IP层负责；你看到的Wireshark超大包是重组后的应用层或网络层数据，实际传输时都是符合MTU限制的小帧。

内容的提问来源于stack exchange，提问作者Saitama