2026-06-02

Análisis PCAP de falla de DHCP: problemas de descubrimiento, oferta, solicitud, ACK, NAK y sin dirección IP

Cómo solucionar problemas de falla de DHCP, falta de dirección IP, DHCP Discover sin oferta, DHCP NAK, problemas de retransmisión, problemas de VLAN y evidencia de captura de paquetes.

Cuando un dispositivo no puede obtener una dirección IP, todo lo anterior falla. Los usuarios buscan "DHCP Discover sin oferta", "DHCP pcap fallido", "solución de problemas de DHCP NAK", "el dispositivo obtiene la dirección 169.254" y "no hay captura de paquetes de dirección IP" porque el síntoma visible suele ser simplemente "red no conectada".

DHCP es fácil de entender cuando el flujo de cuatro mensajes es visible. Es difícil adivinar cuando sólo es visible el error del cliente. PCAP Surgery ayuda a aislar el intercambio DHCP y al mismo tiempo preserva el tráfico de transmisión, los campos de retransmisión, las opciones y la sincronización.

Flujo DHCP saludable

Un flujo DHCP IPv4 típico:

Client -> Broadcast: DHCP Discover
Server -> Client/Broadcast: DHCP Offer
Client -> Broadcast: DHCP Request
Server -> Client/Broadcast: DHCP ACK

If the client receives ACK, it can configure IP address, subnet mask, router, DNS, lease time, and other options.

Discover but no Offer

If the capture shows Discover messages but no Offer, likely causes include:

DHCP server unreachable.
VLAN mismatch.
Relay not configured.
Switch port isolation.
DHCP snooping policy.
Server scope exhausted.
Firewall blocks broadcast/relay traffic.
Client is on the wrong network.

Capture location matters. If you capture on the client and see Discover leave but no Offer return, you still need to know whether the server received it.

Offer but no Request

If Offer appears but the client never sends Request, the client may reject the offer due to options, wrong network, duplicate address detection, or client policy.

Inspect:

Offered IP.
Server identifier.
Subnet mask.
Router option.
Lease time.
Vendor-specific options.

NAK

DHCP NAK means the server rejects the client's requested address or lease state. This often happens after moving between networks or VLANs.

Look for:

Client requests old IP.
Server sends NAK.
Client restarts discovery.
Repeated NAK loop.

The fix may be normal lease renewal behavior, but repeated NAKs indicate configuration or network mismatch.

Relay and VLAN problems

In routed networks, DHCP relay forwards client requests to a server. The giaddr field and relay information options matter. If relay is missing or wrong, the server may not know which scope to use.

Preserve DHCP options when trimming a capture. Removing them destroys the evidence.

Checklist

Use this workflow:

Capture from link-up or device boot.
Filter DHCP/BOOTP traffic.
Determine which messages appear: Discover, Offer, Request, ACK, NAK.
Inspect transaction IDs.
Check offered address and options.
Check server identifier.
Check relay fields and VLAN context.
Look for repeated retries and timing.
Compare client-side and server-side captures if needed.
Preserve full DHCP options.

Final diagnosis

DHCP failure is not just "no IP." The packet evidence shows whether the client asked, server answered, client accepted, server acknowledged, server rejected, or relay/VLAN prevented the exchange.

PCAP Surgery helps reduce noisy boot captures into the exact DHCP sequence needed to prove why the device did not get an address.

Respuesta basada en paquetes para «Análisis PCAP de falla de DHCP: problemas de descubrimiento, oferta, solicitud, ACK, NAK y sin dirección IP»

La respuesta directa es que una etiqueta del analizador o un mensaje de la aplicación no determina la causa. Empieza por punto de captura y dirección; demuestra la última frontera correcta y la primera fallida. En «Análisis PCAP de falla de DHCP: problemas de descubrimiento, oferta, solicitud, ACK, NAK y sin dirección IP», otro revisor debe poder encontrar el packet, hueco o intervalo que sostiene cada frase y saber qué evidencia podría refutarla.

Situar la captura en el camino

Registra client, server y cualquier proxy, load balancer, NAT o firewall. Indica interface, lugar, reloj, sistema y direcciones visibles. Una captura junto al client demuestra lo que llegó allí, no que el server no enviara. Una junto al server demuestra salida en ese punto, no tránsito completo. Antes de comparar dos puntos corrige clock offset y alinea flow tuple, TCP sequence o transaction ID.

Comprueba calidad: snap length, dropped packets, offload, capture filter, ring buffer y hora inicial. Un checksum incorrecto en host puede ser offload artifact. Un segmento grande puede provenir de GRO/TSO y no existir así en el cable. Un packet ausente en un archivo limitado no es network loss hasta demostrar que el punto debía verlo.

Leer fronteras en orden

Frontera	Evidencia correcta	Evidencia de fallo
Link e IP	dirección, addresses y ruta coherentes	ARP/NDP ausente, ICMP, MTU, asimetría
TCP	SYN, SYN-ACK, ACK y sequence	retransmission, RST, zero window, timeout
TLS	ClientHello, ServerHello y progreso	alert o límite SNI/ALPN/certificate
Aplicación	request completo y response relacionado	status, gap o cierre temprano
Usuario	response time o failure window	stall ligado a una frontera

Detente en la primera frontera sin éxito. Si TCP no termina, no empieces por HTTP. Si request llega al proxy pero no al upstream, el límite está en proxy o su camino. Si llega al upstream sin response antes del timeout, usa ACK y progreso de bytes para separar application delay de network loss.

Separar observación e hipótesis

La observación se puede señalar: «Client envió hasta cierta sequence; sender repitió un segmento tres veces y no apareció ACK avanzado en este punto». La hipótesis es «el camino perdió el segmento». Otra captura o dropped records pueden refutarla. Para cada hipótesis escribe una prueba favorable y una contraria.

Retransmission o duplicate ACK no asigna culpable. Reordering, loss, capture artifact y receiver delay producen marcas similares. Relaciona dirección, sequence, ACK, SACK, RTT, window y tiempo de aplicación. En DNS o DHCP enlaza transaction ID, addresses e intentos; en HTTP, request y response; en TLS, dirección del handshake.

Preservar el original

Calcula checksum y conserva el original sin cambios. Filtra, recorta y redacta una working copy. Registra input, transformación, hora, packet count antes/después, checksum y motivo. Tras reescribir timestamps o eliminar packets, esa copia pierde capacidad para algunas conclusiones de tiempo o secuencia.

Sustituye addresses e identificadores de forma constante para seguir el mismo endpoint. No elimines ports, directions o lengths necesarios. Guarda aparte el mapa secreto. Revisa límites de captura y exportación y el flujo general de PCAP Surgery.

QA antes de publicar

¿Título y respuesta tratan el mismo flow? ¿Cada duración nombra reloj y puntos? ¿Está identificada la primera frontera fallida? ¿Existe explicación alternativa? ¿Se repite cambiando una variable? ¿Se conserva el original? Declara el límite: «Esta captura demuestra comportamiento junto al client durante este intervalo; no demuestra la ejecución interna del server».

Semrush no se distribuye por plantilla. El término validado PCAP analyzer pertenece solo a la página del producto; este artículo conserva su pregunta técnica y no inventa volumen ni KD.

Libro de flow y prueba de descarte

Para «Análisis PCAP de falla de DHCP: problemas de descubrimiento, oferta, solicitud, ACK, NAK y sin dirección IP», crea una fila por dirección: endpoints con alias, primer/último packet, bytes enviados y reconocidos, resets, retransmissions, requests y responses. No mezcles conexiones por compartir hostname; source port, inicio e initial sequence separan sessions. Con NAT o proxy documenta la relación de flows sin esperar iguales sequence o ports.

Calcular TCP, no contar etiquetas

Sigue next expected sequence del receiver. El payload mueve sequence por su longitud; SYN y FIN consumen un número. Duplicate ACK estable tras segmentos superiores apoya loss o reordering. SACK blocks muestran ranges recibidos, no dónde se perdieron. Si retransmission aparece junto al sender y no junto al receiver, prueba el tramo; si falta el segmento original en sender capture, revisa capture loss u offload.

Separa fast retransmit tras duplicate ACKs de RTO tras silencio. Compara RTT previo, advertised window, zero-window probes, burst y tamaño. No cada label es pérdida independiente: overlap, spurious retransmission o captura iniciada a mitad cambian la clasificación.

Medir tiempo con fronteras

Usa request first byte, request complete, response first byte y response complete. TTFB no equivale a tiempo de server sin punto y transporte. Retransmission antes de response añade posible network delay; request reconocido y silencio largo apoya application wait. Indica valor, unidad, clock y punto.

Con dos puntos alinea un packet distintivo en ambas direcciones, estima offset y usa intervals internos. Si clock es incierto, da un range. Compara ventanas correctas y fallidas de duración y carga similares.

Preguntas por protocolo

DNS: ¿ID, nombre y tipo coinciden, y retry cambia resolver o source port? DHCP: ¿Discover, Offer, Request y ACK pertenecen al mismo client identifier? TLS: ¿último handshake message por dirección y alert visible o cifrado? HTTP: ¿quién genera 4xx/5xx y existe upstream flow? TCP close: ¿quién envía FIN/RST y qué bytes quedan sin ACK?

Prueba decisiva y entrega

Elige dos hipótesis y una prueba que las separe. Captura al otro extremo separa network loss de measurement loss; desactivar offload en test comprueba artifact; request idéntico por path fijo prueba intermittency; log upstream contra packet boundary prueba application delay. Escribe resultados esperados antes.

Acepta cuando otro reviewer repite el cálculo con metadata, encuentra la misma frontera y entiende límites. Entrega original/derived checksum, filter, packet ranges y pasos de trim/redaction. Termina con owner, acción y condición medible.

Revisión de reproducción

Abre una connection nueva y repite tres veces con iguales entradas y filtros. Ports e initial sequence pueden cambiar, pero frontera, dirección y patrón deben repetirse. Informa éxitos y fallos. Una corrección cambia una variable y debe producir el cambio de packets previsto, no solo ocultar el mensaje.

Abre la copia derivada en otro equipo. El reviewer encuentra alias, clock, capture point, último éxito, primer fallo y alternativa. Busca hostname, query, header o payload sensible tras redaction, conservando lengths y directions necesarios. Enumera lo no probado: otra dirección, IPv6, reconnect o carga.

Cierra como demostrado dentro del alcance, todavía reproducible o pendiente por una captura concreta. No escribas «red arreglada» tras probar un solo flow.