Kalkulator Overhead Enkripsi & MTU Tunnel VPN (WireGuard, IPsec, OpenVPN)
Hitung overhead enkapsulasi kriptografi, MTU antarmuka tunnel optimal, TCP MSS clamping, dan throughput bersih untuk WireGuard, IPsec ESP, dan OpenVPN.
Parameter Input
Coba Contoh:
Hasil Perhitungan
Efisiensi Payload Tunnel VPN (%)93.33%
- MTU Antarmuka WAN Fisik
- 1.500 Byte
- Ukuran Header IP Luar (Carrier)
- 20 Byte
- Overhead Enkapsulasi & Cipher VPN
- 40 Byte
- Total Overhead Header Tunnel per Paket
- 60 Byte
- Nilai MTU Interface Tunnel VPN Optimal
- 1.440 Byte
- Nilai Optimal TCP MSS Clamping
- 1.400 Byte
- Payload Bersih Segmen TCP Dalam
- 1.400 Byte
- Efisiensi Transmisi Payload Protokol
- 93,33 %
- Throughput Payload Bersih (Goodput)
- 93,33 Mbps
- Bandwidth Terserap Enkapsulasi
- 6,67 Mbps
Ingin membandingkan 2 opsi desain (misal: RAIDZ1 vs RAIDZ2, atau Cat6 vs Cat5e)?
⚡ Standar Hardening & Operasional Produksi
Debian 12 / Ubuntu 24.04 LTS + Nftables + Systemd Timer
CIS Benchmark Level 1 • Non-Root SSH Key-Only + Fail2ban/CrowdSec
Uji aturan firewall dan skrip cron pada lingkungan staging terlebih dahulu, dan simpan backup konfigurasi di Git.
Tabel Perbandingan Overhead & MTU Antar Protokol VPN
| Protokol & Cipher VPN | Overhead Enkapsulasi Tunnel | Nilai MTU Interface Tunnel VPN Optimal | Nilai Optimal TCP MSS Clamping | Throughput Payload Bersih (Goodput) |
|---|---|---|---|---|
| WireGuard (UDP 8B + WG Header 32B + Poly1305 16B) | 60 Byte | 1.440 Byte | 1.400 Byte | 93,33 Mbps |
| IPsec ESP AES-GCM Native (Proto 50) | 66 Byte | 1.434 Byte | 1.394 Byte | 92,93 Mbps |
| IPsec ESP AES-GCM + UDP NAT-T (4500) | 74 Byte | 1.426 Byte | 1.386 Byte | 92,4 Mbps |
| OpenVPN 2.6 Data Channel AEAD (UDP) | 68 Byte | 1.432 Byte | 1.392 Byte | 92,8 Mbps |
| OpenVPN Data Channel (TCP) | 80 Byte | 1.420 Byte | 1.380 Byte | 92 Mbps |
| GRE Tunnel (24B) + IPsec ESP NAT-T | 98 Byte | 1.402 Byte | 1.362 Byte | 90,8 Mbps |
Aturan Konfigurasi MTU & TCP MSS Clamping (RouterOS & Linux)
# Konfigurasi Interface MTU & TCP MSS Clamping (MikroTik RouterOS v7 & Linux) /interface wireguard set [find] mtu=1440 /ip firewall mangle add chain=forward protocol=tcp tcp-flags=syn action=change-mss new-mss=1400 passthrough=yes comment="VPN MSS Clamping" # Linux iptables equivalent: iptables -t mangle -A FORWARD -p tcp --tcp-flags SYN,RST SYN -j TCPMSS --set-mss 1400
Multi-Vendor & Packet Flow
Multi-Vendor Config Translator & Visualisasi Alur Paket (Packet Flow)
Diagram Alur Paket Interaktif (Klik Tahap untuk Detail Inspeksi)WAN ➔ Prerouting/NAT ➔ Filter/QoS ➔ LAN
1. Client TCP SYN: Klien LAN menginisiasi jabat tangan TCP 3-way handshake dengan mengusulkan MSS standar 1460 byte.
# MikroTik RouterOS v7 — WireGuard MTU 1440 & TCP MSS Clamping (1400)
/interface wireguard
add name=wg-s2s mtu=1440 listen-port=51820
/ip firewall mangle
add chain=forward out-interface=wg-s2s protocol=tcp tcp-flags=syn tcp-mss=1401-65535 \
action=change-mss new-mss=1400 passthrough=yes comment="Clamp TCP MSS to 1400"
add chain=forward in-interface=wg-s2s protocol=tcp tcp-flags=syn tcp-mss=1401-65535 \
action=change-mss new-mss=1400 passthrough=yesCara Menggunakan Alat Ini
- Masukkan MTU antarmuka WAN fisik (1500 untuk Ethernet standar atau 1492 untuk koneksi fiber PPPoE) dan pilih versi IP luar (IPv4 atau IPv6).
- Pilih protokol tunnel VPN yang digunakan (WireGuard, IPsec ESP NAT-T, IPsec Native, OpenVPN UDP/TCP, atau GRE + IPsec) serta kecepatan link dalam Mbps.
- Tinjau hasil MTU Tunnel optimal, nilai TCP MSS Clamping, persentase efisiensi protokol, serta salin skrip mangle MikroTik/iptables yang dihasilkan.
Contoh Perhitungan Nyata: WireGuard di Atas Ethernet Standar (MTU 1500, 100 Mbps)
Contoh terhitung: Koneksi WAN Ethernet (MTU 1500) menggunakan WireGuard di atas IPv4 memiliki overhead total 60 byte, menghasilkan MTU Tunnel optimal 1440 byte, TCP MSS 1400 byte, dan efisiensi payload 93,33%.
Input Contoh
- MTU Antarmuka WAN Fisik (Byte)
- 1.500 Byte
- Versi Protokol IP Carrier (Outer IP)
- IPv4 Carrier (Header IP Luar 20 Byte)
- Protokol Tunnel & Cipher VPN
- WireGuard (ChaCha20-Poly1305 over UDP)
- Kecepatan Bandwidth Link WAN (Mbps)
- 100 Mbps
Output Terhitung
- MTU Antarmuka WAN Fisik
- 1.500 Byte
- Ukuran Header IP Luar (Carrier)
- 20 Byte
- Overhead Enkapsulasi & Cipher VPN
- 40 Byte
- Total Overhead Header Tunnel per Paket
- 60 Byte
- Nilai MTU Interface Tunnel VPN Optimal
- 1.440 Byte
- Nilai Optimal TCP MSS Clamping
- 1.400 Byte
- Payload Bersih Segmen TCP Dalam
- 1.400 Byte
- Efisiensi Transmisi Payload Protokol
- 93,33 %
- Throughput Payload Bersih (Goodput)
- 93,33 Mbps
- Bandwidth Terserap Enkapsulasi
- 6,67 Mbps
- Aturan Konfigurasi MTU & TCP MSS Clamping (RouterOS & Linux)
- # Konfigurasi Interface MTU & TCP MSS Clamping (MikroTik RouterOS v7 & Linux) /interface wireguard set [find] mtu=1440 /ip firewall mangle add chain=forward protocol=tcp tcp-flags=syn action=change-mss new-mss=1400 passthrough=yes comment="VPN MSS Clamping" # Linux iptables equivalent: iptables -t mangle -A FORWARD -p tcp --tcp-flags SYN,RST SYN -j TCPMSS --set-mss 1400
Tabel Perbandingan Overhead & MTU Antar Protokol VPN
| Protokol & Cipher VPN | Overhead Enkapsulasi Tunnel | Nilai MTU Interface Tunnel VPN Optimal | Nilai Optimal TCP MSS Clamping | Throughput Payload Bersih (Goodput) |
|---|---|---|---|---|
| WireGuard (UDP 8B + WG Header 32B + Poly1305 16B) | 60 Byte | 1.440 Byte | 1.400 Byte | 93,33 Mbps |
| IPsec ESP AES-GCM Native (Proto 50) | 66 Byte | 1.434 Byte | 1.394 Byte | 92,93 Mbps |
| IPsec ESP AES-GCM + UDP NAT-T (4500) | 74 Byte | 1.426 Byte | 1.386 Byte | 92,4 Mbps |
| OpenVPN 2.6 Data Channel AEAD (UDP) | 68 Byte | 1.432 Byte | 1.392 Byte | 92,8 Mbps |
| OpenVPN Data Channel (TCP) | 80 Byte | 1.420 Byte | 1.380 Byte | 92 Mbps |
| GRE Tunnel (24B) + IPsec ESP NAT-T | 98 Byte | 1.402 Byte | 1.362 Byte | 90,8 Mbps |
Konsep Dasar & Catatan Teknis
Setiap protokol Virtual Private Network (VPN) membungkus paket IP asli ke dalam header enkapsulasi kriptografis baru sebelum mengirimkannya melalui jaringan publik (WAN). Proses enkapsulasi ini mengurangi ukuran maksimum ruang payload yang tersedia di dalam satu frame jaringan, sehingga menurunkan nilai Maximum Transmission Unit (MTU) efektif pada antarmuka tunnel. Apabila MTU tunnel tidak disesuaikan dengan benar terhadap MTU jalur fisik WAN (seperti Ethernet 1500 byte atau PPPoE 1492 byte), paket yang ukurannya melebihi batas akan mengalami fragmentasi IP atau dibuang sepenuhnya ketika bit Don't Fragment (DF) aktif.
Besarnya overhead enkapsulasi bergantung pada protokol VPN dan versi IP luar (IPv4 20 byte vs IPv6 40 byte). WireGuard menggunakan kriptografi modern ChaCha20-Poly1305 di atas UDP dengan overhead yang sangat terprediksi: 20 byte IPv4 (atau 40 byte IPv6) + 8 byte UDP + 32 byte header WireGuard + 16 byte tag autentikasi Poly1305, sehingga membutuhkan pengurangan MTU sebesar 60 byte pada IPv4 (MTU 1440) atau 80 byte pada IPv6 (MTU 1420, standar default WireGuard). Sebaliknya, IPsec ESP dengan enkapsulasi UDP NAT-Traversal (port 4500) serta OpenVPN dan GRE over IPsec menambahkan lapisan header ekstra serta padding blok cipher yang menyerap 66 hingga 98 byte per paket.
Untuk mencegah masalah Path MTU Discovery (PMTUD) blackhole yang sering menyebabkan situs web HTTPS atau sesi SSH menggantung (hang) saat diakses melalui VPN, administrator jaringan menerapkan teknik TCP MSS (Maximum Segment Size) Clamping pada firewall router (MikroTik Mangle atau Linux iptables/nftables). Nilai TCP MSS optimal dihitung dari MTU Tunnel dikurangi 40 byte (20 byte header IPv4 dalam + 20 byte header TCP dalam).
Di samping penyesuaian MTU dan TCP MSS, pemilihan protokol VPN berdampak langsung pada throughput bersih (goodput) dan beban kerja CPU router. Setiap byte yang terpakai oleh header enkapsulasi kriptografis mengurangi rasio efisiensi payload terhadap ukuran frame fisik WAN. Pada koneksi fiber optik PPPoE (MTU 1492) yang melewati enkapsulasi berlapis seperti GRE over IPsec atau OpenVPN TCP, efisiensi protokol dapat turun di bawah 90% dan memicu fenomena TCP Meltdown apabila paket mengalami retransmisi ganda di dalam dan di luar tunnel. Dengan menghitung overhead byte secara presisi sebelum menggelar konfigurasi site-to-site VPN, teknisi dapat memaksimalkan throughput megabit per detik sekaligus menghilangkan anomali koneksi terputus-putus.
Cara Perhitungan (Rumus & Langkah)
Rumus Matematika
- Total Overhead Tunnel = Header_IP_Luar (20B/40B) + Header_Enkapsulasi_VPN_&_Tag_AEAD
- MTU Tunnel Optimal = MTU_WAN_Fisik − Total_Overhead_Tunnel
- TCP MSS Clamping Optimal = MTU_Tunnel_Optimal − 40 byte (Header IPv4 Dalam 20B + TCP 20B)
- Efisiensi Payload (%) = (TCP_MSS_Optimal ÷ MTU_WAN_Fisik) × 100%
Langkah Substitusi
- MTU WAN Fisik = 1500 byte, Header IP Luar (IPV4) = 20 byte.
- Enkapsulasi & Cipher WireGuard (UDP 8B + WG Header 32B + Poly1305 16B) = 40 byte.
- Total Overhead Tunnel = 20 + 40 = 60 byte.
- MTU Interface VPN Optimal = 1500 - 60 = 1440 byte.
- TCP MSS Clamping Optimal = 1440 - 40 (Header IPv4 20B + TCP 20B dalam tunnel) = 1400 byte.
- Efisiensi Payload TCP = (1400 / 1500) × 100% = 93.33% (93.33 Mbps dari link 100 Mbps).
Pertanyaan yang Sering Diajukan (FAQ)
Mengapa WireGuard secara default menetapkan MTU 1420 byte?
WireGuard dirancang agar aman berjalan di atas jaringan IPv6 (header 40 byte) maupun IPv4 (20 byte) pada link Ethernet 1500 byte. Dengan dikurangi 80 byte overhead IPv6 + UDP + WG, nilai 1420 byte aman untuk kedua versi IP.
Berapa MTU WireGuard yang tepat jika internet ISP menggunakan PPPoE (MTU 1492)?
Karena PPPoE memotong 8 byte dari 1500 menjadi 1492 byte, MTU WireGuard harus diturunkan menjadi 1432 byte (untuk IPv4) atau 1412 byte (untuk IPv6/universal), dengan TCP MSS 1392 atau 1372 byte.
Gejala apa yang muncul jika MTU VPN terlalu besar dan MSS Clamping belum dipasang?
Ping ukuran kecil (56 byte) berjalan lancar, namun saat membuka halaman web HTTPS, mengunduh file, atau menjalankan kueri database besar, koneksi berhenti merespons (timeout) karena paket besar berflag DF dibuang di tengah jalur.
Mengapa OpenVPN mode TCP tidak disarankan untuk tunnel site-to-site?
Selain memiliki overhead header yang lebih besar (60+ byte), membungkus trafik TCP di dalam tunnel TCP memicu fenomena TCP Meltdown (retransmisi ganda antara TCP luar dan TCP dalam) saat terjadi sedikit packet loss.
Alat Kalkulator Terkait
Lihat Semua Kalkulator Developer & Keamanan →Kalkulator MTU dan TCP MSS Clamping
Hitung ukuran MTU optimal, TCP MSS clamping (IPv4/IPv6), dan payload uji ping Don't Fragment untuk mengatasi website loading macet di PPPoE dan VPN.
Kalkulator MTU & TCP MSS WireGuard VPN MikroTik
Setup WireGuard VPN Site-to-Site RouterOS v7 lengkap dengan pencegahan browsing macet melalui TCP MSS Clamping otomatis.
Kalkulator Ukuran Token JWT, Base64 Overhead & Masa Aktif (TTL)
Hitung ukuran byte token JWT (HS256, RS256, ES256, EdDSA), overhead Base64URL, batas Cookie 4 KB & header Nginx 8 KB, serta bandwidth bulanan.
Kalkulator Entropi Password & Estimasi Waktu Brute-Force
Hitung bit entropi kriptografi kata sandi (E = L × log2(R)), ukuran ruang kunci kombinasi, dan tabel waktu bobol brute-force pada Bcrypt/GPU.
Kalkulator Kapasitas Log SIEM, Syslog & Retensi Audit Keamanan
Hitung total Events Per Second (EPS), volume log harian (GB/hari), kapasitas Hot Storage NVMe & Cold Archive terkompresi untuk Wazuh, ELK, dan Graylog.
Referensi Standar & Catatan
Terakhir diperbarui: Terverifikasi Teknis · Standar Industri
- WireGuard Protocol Cryptographic & Packet Header Specification (Jason A. Donenfeld)
- IETF RFC 4303 — IP Encapsulating Security Payload (ESP) & RFC 3948 UDP Encapsulation
Catatan: Hasil di atas merupakan estimasi berdasarkan rumus standar. Selalu verifikasi dengan dokumentasi resmi vendor dan kondisi lapangan sebelum implementasi pada lingkungan produksi.