роутер с включенным tso/sgo/gro = ?

т.е. правая рука не знает, что делает левая рука ?

Дак tcpdump ведь показывает пакеты после драйвера сетёвки, а именно там и происходит объединение пакетов в большой при GSO и пр.

Не знаю, возможно это полезно ещё в случае маршрутизатора между обычным ethernet и Jumbo-frame.

Проблема то в том, что они приходят с DF(?), а дальше MTU 1500 и в ответ отсылается ICMP FRAG_NEEDED.

Cудя по изменениям в ядре, кто-то недавно исправлял ошибку с локальной обработкой DF, похоже что-то не учли.

Я пока не понял - сменить TSO/GSO/GRO на ходу без down/up интерфейса нельзя?

Не знаю, насчёт того, что сделали в ядре. Но в общем случае, дальше MTU 1500, а ещё дальше может быть ещё меньше. Клиент с удалённым сервером в интернете изначально может согласовать правильный MSS, а маршрутизатор с TSO, даже если изначально фрагментирует полученный после TSO по 1500 байт, всё одно получит ICMP FRAG_NEEDED и никакой выгоды от TSO не будет.

Раньше, вроде как, по умолчению это TSO/GSO/GRO было отключено, может по этому у вас проблем и не было.

Проблема в том, что сетевушка сама собрала из фрагментов большой пакет и потом им подавилась :)

Если на собранном пакете есть флаг DF - значит это баг. Хорошо, если это баг в ядре, а не в сетевушке!

Похоже сломано в 3.4.92

net: ipv4: ip_forward: fix inverted local_df test
[ Upstream commit ca6c5d4ad216d5942ae544bbf02503041bd802aa ] 

Эх, придется разбираться....