@paulinsche hatte irgendwie mal rausgefunden, dass Android die MTU nicht richtig ermittelt (path discovery) und hat bei uns eine Regel dafür gesetzt, sodass die für neue Verbindungen hart erzwungen wird:
-A POSTROUTING -o tun-+ -p tcp -m tcp --tcp-flags SYN,RST SYN -m tcpmss ! --mss 0:1240 -j TCPMSS --set-mss 1240
Die tun-Schnittstellen (tun-+) sind die GREs zum FFRL-Backbone.