在法國用 Orange 光纖跑 WireGuard 回家：NAT 與 MTU 的實測

Orange 光纖 Livebox 5，下行 2Gbps／上行 800Mbps，家裡一台 x86 小主機跑 Debian 12 當入口，外出用筆電和手機連 WireGuard 回家拿檔案。現象很具體：握手成功、ping 得通，但一傳大檔就卡住，scp 傳到 3～4MB 就停，ssh 打字延遲明顯。同一個設定在 VPS 上完全正常，所以問題不在 WireGuard 本身。

我先確認的是 NAT 這一層。Livebox 預設不讓你改太多，只有「端口轉發」和「DMZ」兩條路。我的做法是把 UDP 51820 轉發到內網主機，並在 Livebox 的防火牆裡放行該端口；不要用 DMZ，因為 DMZ 會把整台主機暴露在外，而且 Livebox 的 DMZ 只認一個 IPv4。

# /etc/wireguard/wg0.conf（伺服器端）
[Interface]
Address = 10.66.66.1/24
ListenPort = 51820
PrivateKey = <server-key>
MTU = 1380

[Peer]
PublicKey = <laptop-key>
AllowedIPs = 10.66.66.2/32

客戶端把 AllowedIPs 設成 10.66.66.0/24 而不是 0.0.0.0/0，只走內網，不把全部流量繞回家。MTU 是關鍵：Orange 的光纖走 PPPoE，實際可用的 MTU 比 1500 小，WireGuard 封包再加上外層標頭就會被丟。我把兩端都設 1380，scp 立刻恢復正常。

代價是 MTU 調小之後，區域網內的大封包傳輸效率略降，但對家用場景無感；另外 Livebox 重開機偶爾會清掉端口轉發規則，我遇過兩次，後來把設定截圖存著，重開後對一遍。

會失效的地方：一是 Orange 換 IP，動態 IPv4 一變，外面的客戶端就連不上，我目前靠 DDNS 補，但更新有延遲；二是 Livebox 的 IPv6 防火牆預設擋 inbound，想走 IPv6 直接連要另外放行，我沒開，因為前綴會變。還有一個坑：某些公共 Wi-Fi 封 UDP，這時握手一直失敗，不是設定錯。

你們在法國用 Orange 或 Free 的光纖，WireGuard 的 MTU 都設多少？有沒有遇過 Livebox 重開掉規則的情況？