Fragmentación, MTU y tráfico que se pierde

La MTU es el tamaño máximo de paquete que un enlace acepta. Un paquete IPv4 más grande que la MTU de un enlace se puede fragmentar, salvo que lleve el bit DF (no fragmentar). Con DF activo, el router que no puede reenviarlo lo descarta y devuelve al emisor un mensaje ICMP de destino inalcanzable con el código «fragmentación necesaria»; el emisor reduce su tamaño. Ese mecanismo se llama descubrimiento de la MTU de la ruta (RFC 1191). En IPv6 los routers no fragmentan: lo hace el emisor, y el mensaje equivalente es «paquete demasiado grande» (RFC 8200, RFC 8201).

Un túnel agrega cabeceras y por eso su MTU útil es menor que la de la red local.

El tamaño útil de una ruta lo fija su enlace más pequeño. Para revisar un problema de paquetes que no pasan hay que listar los enlaces y quedarse con el menor, porque ese es el que obliga a fragmentar o a descartar.

Abre la consola y consulta enlaces.

Una manera de evitar la fragmentación en TCP es que los extremos acuerden un tamaño de segmento (MSS) que quepa en la ruta. En IPv4, sin opciones, el MSS es la MTU menos 40 bytes (20 de la cabecera IP y 20 de la de TCP). Muchos cortafuegos y routers pueden «recortar» el MSS que anuncian los extremos al valor que corresponde al enlace estrecho; es una configuración que debe cambiarse con control y probarse.

Solo el primer fragmento de un paquete lleva la cabecera de transporte con los puertos; los demás llevan datos sin ellos. Un cortafuegos que decide por puertos no puede evaluar esos fragmentos sin reensamblar el paquete o seguir su identificador. Por eso muchas configuraciones los tratan con una regla aparte, que puede ser «descartar», con un efecto conocido: las respuestas grandes que viajan fragmentadas no llegan completas.

Consulta fragmentos y mira qué regla actúa sobre los fragmentos que no son el primero.

En capturas, el flujo M-01 muestra tres paquetes de 1500 bytes con DF descartados, y el M-02, de 120 bytes, pasa. Eso explica por qué lo pequeño funciona y lo grande no, y es coherente con el registro ICMP que se vio en la sala anterior. No prueba por sí solo en qué punto exacto de la ruta se descarta ni que el fabricante del túnel tenga un error: eso se confirma con la configuración del túnel.