2026-06-02

Análisis PCAP de fragmentación y agujero negro de MTU: búsqueda de fallas de PMTUD, problemas de MSS y TCP bloqueado

Cómo diagnosticar agujeros negros de MTU, fallas en el descubrimiento de rutas de MTU, discrepancias de TCP MSS, fragmentación, mensajes ICMP bloqueados, túneles VPN y conexiones detenidas en capturas de paquetes.

Los problemas de MTU crean algunas de las fallas de red más confusas. Las pequeñas solicitudes funcionan. Los pings pueden funcionar. El DNS puede funcionar. TCP se conecta. TLS puede comenzar. Luego, las respuestas grandes se estancan, las cargas se bloquean, los sitios web se cargan parcialmente, el tráfico VPN se interrumpe o las transmisiones RTSP/HTTP fallan con una tasa de bits más alta. Los usuarios buscan "pcap de agujero negro de MTU", "fallo de descubrimiento de MTU de ruta", "problema de TCP MSS", "captura de paquetes de fragmentación" y "VPN de bloqueo de paquetes grandes" porque la conexión no está simplemente activa o inactiva.

Una captura de paquetes puede mostrar si se envían, fragmentan, descartan, retransmiten o bloquean paquetes grandes debido a la falta de retroalimentación ICMP. Pero el seguimiento debe interpretarse con cuidado porque el punto de captura, la descarga y la sobrecarga del túnel pueden distorsionar los tamaños de paquetes visibles.

La cirugía PCAP es útil aquí porque las investigaciones de MTU a menudo necesitan seguimientos específicos: una conversación TCP, sincronización original, mensajes ICMP, retransmisiones, negociación MSS y suficientes paquetes antes y después de la parada.

¿Qué significa MTU?

MTU es la unidad de transmisión máxima en un enlace. Ethernet suele utilizar 1500 bytes. Las VPN, PPPoE, túneles, superposiciones y redes en la nube pueden reducir la MTU de ruta efectiva porque agregan encabezados.

Si un remitente transmite paquetes más grandes de lo que puede transportar una ruta, debe suceder una de dos cosas:

Los paquetes se fragmentan donde está permitido.
Los paquetes se descartan y el remitente debe aprender una MTU de ruta más pequeña.

Path MTU Discovery se basa en mensajes ICMP para informar que un paquete era demasiado grande. Si esos mensajes ICMP se bloquean, el remitente puede seguir enviando paquetes que desaparecen. Ese es el clásico agujero negro MTU.

Síntomas del agujero negro MTU

Los síntomas comunes incluyen:

La conexión TCP se abre pero la transferencia grande se detiene.
El protocolo de enlace HTTPS se detiene después de ClientHello o ServerHello.
La página de inicio de sesión se carga pero falla la carga del archivo.
La VPN se conecta pero algunos sitios no se cargan.
SSH funciona hasta que aparece un resultado grande.
Las llamadas API con cargas útiles pequeñas funcionan, las cargas útiles grandes fallan.
El control RTSP funciona pero los medios o los paquetes grandes intercalados se comportan mal.
Las retransmisiones se repiten con tamaños de paquetes similares.

El patrón clave es la sensibilidad al tamaño. Pasan paquetes pequeños. Los paquetes más grandes fallan.

Negociación MSS

El tamaño máximo del segmento TCP se negocia durante el intercambio SYN:

Client -> Server: SYN, MSS 1460
Server -> Client: SYN-ACK, MSS 1460

ICMP fragmentation needed

If the capture shows:

then Path MTU Discovery is working.

If the capture shows:

then an MTU black hole is plausible.

Fragmentation evidence

In a pcap, look for:

TLS handshake stalls and MTU

VPN and tunnel overhead

Capture point and offload

To avoid mistakes:

Checklist for MTU black hole PCAP analysis

Use this process:

Final diagnosis

Respuesta basada en paquetes para «Análisis PCAP de fragmentación y agujero negro de MTU: búsqueda de fallas de PMTUD, problemas de MSS y TCP bloqueado»

La respuesta directa es que una etiqueta del analizador o un mensaje de la aplicación no determina la causa. Empieza por punto de captura y dirección; demuestra la última frontera correcta y la primera fallida. En «Análisis PCAP de fragmentación y agujero negro de MTU: búsqueda de fallas de PMTUD, problemas de MSS y TCP bloqueado», otro revisor debe poder encontrar el packet, hueco o intervalo que sostiene cada frase y saber qué evidencia podría refutarla.

Situar la captura en el camino

Registra client, server y cualquier proxy, load balancer, NAT o firewall. Indica interface, lugar, reloj, sistema y direcciones visibles. Una captura junto al client demuestra lo que llegó allí, no que el server no enviara. Una junto al server demuestra salida en ese punto, no tránsito completo. Antes de comparar dos puntos corrige clock offset y alinea flow tuple, TCP sequence o transaction ID.

Comprueba calidad: snap length, dropped packets, offload, capture filter, ring buffer y hora inicial. Un checksum incorrecto en host puede ser offload artifact. Un segmento grande puede provenir de GRO/TSO y no existir así en el cable. Un packet ausente en un archivo limitado no es network loss hasta demostrar que el punto debía verlo.

Leer fronteras en orden

Frontera	Evidencia correcta	Evidencia de fallo
Link e IP	dirección, addresses y ruta coherentes	ARP/NDP ausente, ICMP, MTU, asimetría
TCP	SYN, SYN-ACK, ACK y sequence	retransmission, RST, zero window, timeout
TLS	ClientHello, ServerHello y progreso	alert o límite SNI/ALPN/certificate
Aplicación	request completo y response relacionado	status, gap o cierre temprano
Usuario	response time o failure window	stall ligado a una frontera

Detente en la primera frontera sin éxito. Si TCP no termina, no empieces por HTTP. Si request llega al proxy pero no al upstream, el límite está en proxy o su camino. Si llega al upstream sin response antes del timeout, usa ACK y progreso de bytes para separar application delay de network loss.

Separar observación e hipótesis

La observación se puede señalar: «Client envió hasta cierta sequence; sender repitió un segmento tres veces y no apareció ACK avanzado en este punto». La hipótesis es «el camino perdió el segmento». Otra captura o dropped records pueden refutarla. Para cada hipótesis escribe una prueba favorable y una contraria.

Retransmission o duplicate ACK no asigna culpable. Reordering, loss, capture artifact y receiver delay producen marcas similares. Relaciona dirección, sequence, ACK, SACK, RTT, window y tiempo de aplicación. En DNS o DHCP enlaza transaction ID, addresses e intentos; en HTTP, request y response; en TLS, dirección del handshake.

Preservar el original

Calcula checksum y conserva el original sin cambios. Filtra, recorta y redacta una working copy. Registra input, transformación, hora, packet count antes/después, checksum y motivo. Tras reescribir timestamps o eliminar packets, esa copia pierde capacidad para algunas conclusiones de tiempo o secuencia.

Sustituye addresses e identificadores de forma constante para seguir el mismo endpoint. No elimines ports, directions o lengths necesarios. Guarda aparte el mapa secreto. Revisa límites de captura y exportación y el flujo general de PCAP Surgery.

QA antes de publicar

¿Título y respuesta tratan el mismo flow? ¿Cada duración nombra reloj y puntos? ¿Está identificada la primera frontera fallida? ¿Existe explicación alternativa? ¿Se repite cambiando una variable? ¿Se conserva el original? Declara el límite: «Esta captura demuestra comportamiento junto al client durante este intervalo; no demuestra la ejecución interna del server».

Semrush no se distribuye por plantilla. El término validado PCAP analyzer pertenece solo a la página del producto; este artículo conserva su pregunta técnica y no inventa volumen ni KD.

Respuesta directa y límite de aceptación

La respuesta breve a «Análisis PCAP de fragmentación y agujero negro de MTU: búsqueda de fallas de PMTUD, problemas de MSS y TCP bloqueado» es: Cómo diagnosticar agujeros negros de MTU, fallas en el descubrimiento de rutas de MTU, discrepancias de TCP MSS, fragmentación, mensajes ICMP bloqueados, túneles VPN y conexiones detenidas en capturas de paquetes. Trate esa frase como un resultado que debe comprobarse, no como una promesa para cualquier entrada, dispositivo, proyecto o entorno. Un resultado completo registra estado inicial, acción exacta, salida visible y condición que demuestra que la tarea terminó en PCAP Surgery.

Procedimiento basado en evidencia

Empiece con un caso pequeño y repetible antes de cambiar un proyecto completo. Anote versión de la aplicación, sistema operativo, identidad de entrada o dispositivo, ajustes relevantes y resultado esperado. Ejecute una acción deliberada, conserve la primera transición inesperada y compárela con un caso conocido cuando exista. Cambiar varios controles a la vez oculta qué condición creó o corrigió el problema.

Punto de control 1: Análisis PCAP de fragmentación y agujero negro de MTU: búsqueda de fallas de PMTUD, proble

Para «Análisis PCAP de fragmentación y agujero negro de MTU: búsqueda de fallas de PMTUD, problemas de MSS y TCP bloqueado», separe una decisión del producto de un límite del sistema, hardware, archivo fuente, permiso o proceso. Confirme qué capa produjo la evidencia antes de atribuir una causa. Así evita convertir un síntoma cercano en una causa raíz supuestamente probada.

Punto de control 2: Cómo diagnosticar agujeros negros de MTU, fallas en el descubrimiento de rutas de MTU, dis

Cierre «Cómo diagnosticar agujeros negros de MTU, fallas en el descubrimiento de rutas de MTU, discrepancias de TCP MSS, fragmentación, mensajes ICMP bloquead» solo cuando el resultado guardado, exportado o reabierto conserve el estado observado. La respuesta temporal de la interfaz orienta, pero la evidencia duradera es más fuerte. Documente cualquier límite pendiente para quien continúe.

Punto de control 3: ¿Qué significa MTU?

Para «¿Qué significa MTU?», separe una decisión del producto de un límite del sistema, hardware, archivo fuente, permiso o proceso. Confirme qué capa produjo la evidencia antes de atribuir una causa. Así evita convertir un síntoma cercano en una causa raíz supuestamente probada.

Punto de control 4: Síntomas del agujero negro MTU

Cierre «Síntomas del agujero negro MTU» solo cuando el resultado guardado, exportado o reabierto conserve el estado observado. La respuesta temporal de la interfaz orienta, pero la evidencia duradera es más fuerte. Documente cualquier límite pendiente para quien continúe.

Punto de control 5: Negociación MSS

Para «Negociación MSS», separe una decisión del producto de un límite del sistema, hardware, archivo fuente, permiso o proceso. Confirme qué capa produjo la evidencia antes de atribuir una causa. Así evita convertir un síntoma cercano en una causa raíz supuestamente probada.

Punto de control 6: ICMP fragmentation needed

Cierre «ICMP fragmentation needed» solo cuando el resultado guardado, exportado o reabierto conserve el estado observado. La respuesta temporal de la interfaz orienta, pero la evidencia duradera es más fuerte. Documente cualquier límite pendiente para quien continúe.

Punto de control 7: Fragmentation evidence

Para «Fragmentation evidence», separe una decisión del producto de un límite del sistema, hardware, archivo fuente, permiso o proceso. Confirme qué capa produjo la evidencia antes de atribuir una causa. Así evita convertir un síntoma cercano en una causa raíz supuestamente probada.

Punto de control 8: TLS handshake stalls and MTU

Cierre «TLS handshake stalls and MTU» solo cuando el resultado guardado, exportado o reabierto conserve el estado observado. La respuesta temporal de la interfaz orienta, pero la evidencia duradera es más fuerte. Documente cualquier límite pendiente para quien continúe.

Punto de control 9: VPN and tunnel overhead

Para «VPN and tunnel overhead», separe una decisión del producto de un límite del sistema, hardware, archivo fuente, permiso o proceso. Confirme qué capa produjo la evidencia antes de atribuir una causa. Así evita convertir un síntoma cercano en una causa raíz supuestamente probada.

Punto de control 10: Capture point and offload

Cierre «Capture point and offload» solo cuando el resultado guardado, exportado o reabierto conserve el estado observado. La respuesta temporal de la interfaz orienta, pero la evidencia duradera es más fuerte. Documente cualquier límite pendiente para quien continúe.

Matriz de aceptación

Punto	Evidencia que conservar	Condición de aprobado
Análisis PCAP de fragmentación y agujero negro de MTU: búsqueda de fallas de PMTUD, problemas de MSS y TCP bloqueado	Estado inicial, una acción y estado resultante	Otra persona reproduce el resultado declarado
Cómo diagnosticar agujeros negros de MTU, fallas en el descubrimiento de rutas de MTU, discrepancias de TCP MSS, fragmen	Estado inicial, una acción y estado resultante	Otra persona reproduce el resultado declarado
¿Qué significa MTU?	Estado inicial, una acción y estado resultante	Otra persona reproduce el resultado declarado
Síntomas del agujero negro MTU	Estado inicial, una acción y estado resultante	Otra persona reproduce el resultado declarado
Negociación MSS	Estado inicial, una acción y estado resultante	Otra persona reproduce el resultado declarado
ICMP fragmentation needed	Estado inicial, una acción y estado resultante	Otra persona reproduce el resultado declarado

Aislamiento, recuperación y entrega

Deténgase en el primer límite que falla. Conserve fuente, proyecto, sesión o captura, duplíquelo antes de una edición destructiva y cambie una variable por experimento. Repetir un flujo amplio después de varios cambios puede dar otro resultado sin explicar la causa.

Separe ausencia de evidencia de evidencia de ausencia. Una vista vacía puede indicar entrada, alcance, filtro, permiso, dispositivo, intervalo o estado equivocado. Verifique adquisición o importación antes de interpretar el decoder, editor, informe o exportación.

Antes de entregar, reabra el artefacto y revise inicio, punto de decisión y final. Registre versión, plataforma, configuración, expectativa, observación y reproducción mínima. Elimine o redacte datos sensibles y confirme que el destinatario está autorizado.

Preguntas y respuestas

¿Cuál es la forma fiable más rápida de empezar?

Use el caso representativo más pequeño, escriba el resultado esperado y cambie una variable. Confirme el recorrido básico antes de añadir filtros, efectos, ediciones, automatización o una fuente mayor.

¿Qué evidencia debe guardarse?

Conserve identidad de entrada, versión, plataforma, ajustes, acción exacta, primera transición inesperada y salida final. Cierre y reabra cualquier proyecto, sesión, informe o exportación antes de considerarlo duradero.

¿Cuándo debe repetirse el procedimiento?

Repítalo después de cambios relevantes en aplicación, sistema, driver, firmware, modelo, fuente o flujo. Preserve el caso aceptado anterior como referencia sin modificar.

¿Cuándo está listo para entregar?

Cuando otra persona autorizada identifica la entrada, repite la acción, obtiene el mismo resultado, entiende los límites restantes y abre el artefacto sin depender de estado local no documentado.

Guías relacionadas

Estas páginas en el mismo idioma cubren etapas contiguas sin cambiar el propietario canónico del tema: