> На асе icmp хелпер вкл как inspect icmp

  inspect icmp

стоит на асе
для впн юзверей никаких access list нет
Понятное дело что на клиентских компах менять мту не вариант

Заметил что если ломиться с макос то там мту для ppp выставляется 1280
а вот на windows 1400
есть вроде подозрение что не прозодят icmp пакеты которые говорят что нужна фрагментация пакеты
но тогда не могу понять где они блокируются
сейчас завел вроде винду прописав
sysopt connection tcpmss 1200
но мне кажется это костыль
тем более что как эта настройка вроде будет распространяться на все интерфейсы, не только на впн клиентов.