Paquetes internos y externos en una captura de VPN: por qué difieren los tamaños

Capturas paquetes de 1400 bytes en la interfaz del túnel, vuelves a capturar en la física y los números no cuadran. Las direcciones difieren, los tamaños difieren y el segundo archivo parece otra conversación. Nada está roto. Dos paquetes distintos se sientan en dos capas distintas, y la brecha entre ellos es lo que el túnel hace con tu tráfico. Lee ambas vistas antes de culpar al MTU.

Dos puntos de vista y el paquete que muestra cada uno

Una captura tomada en la interfaz del túnel muestra el paquete interno: la carga de la aplicación con su origen y destino originales, antes de que se aplique protección alguna. Una captura en la interfaz física muestra el paquete externo: una cabecera IP, una cabecera de transporte, la encapsulación y luego el paquete interno cifrado como carga. La misma conversación, objetos distintos. En cuanto nombras cuál de los dos contiene el archivo, la discrepancia deja de ser un misterio.

La diferencia de tamaño es sobrecarga, y la diferencia de dirección es diseño. Date la vuelta y la confusión se vuelve predecible: la gente compara un paquete interno de 1400 bytes con un paquete externo de 1450 bytes, decide que algo va mal y empieza a cambiar ajustes de MTU que nunca tuvieron la culpa. Etiqueta el archivo con la interfaz y la capa, porque esa etiqueta es lo primero que necesita un lector y lo primero que la gente omite.

Decide la capa antes de empezar la captura

Decide qué capa responde a tu pregunta antes de que se escriba el primer paquete. Una pregunta de MTU suele necesitar la vista externa, porque es donde se acumulan las cabeceras y donde se ve el límite del camino. Una pregunta de aplicación suele necesitar la vista interna, porque es donde todavía existe la carga que te importa. Capturar ambas sin un plan produce dos archivos y ninguna conclusión.

Usa una prueba inocua y autorizada y filtra por el origen, el destino y el momento que te importan. Lee la interfaz y las opciones de filtro de la herramienta de captura antes de recoger, porque los metadatos suelen bastar y son mucho más fáciles de compartir que la carga. Trata la captura interna como sensible por defecto, porque contiene datos de aplicación sin cifrar que solo se protegen más adelante en el camino.

Qué contiene realmente la diferencia de tamaño

El paquete externo lleva cabeceras adicionales y material de protección, y cuánto lleva depende del protocolo y de sus opciones. La fragmentación, la agregación o la reordenación a lo largo del camino pueden romper la aparente relación uno a uno entre un paquete interno y los paquetes externos que lo llevan, así que una comparación tamaño a tamaño no siempre está disponible. Ante una sospecha de fallo de MTU, busca realimentación de tamaño y el punto donde se detiene el tráfico, y luego compáralo con lo que informa la aplicación. Un patrón de retransmisión sin respuesta es una señal distinta de un error ICMP que lleva el tamaño del siguiente salto.

Un solo paquete que sale del host no demuestra nada sobre si el extremo remoto lo recibió. Si tu captura termina en tu propia interfaz, has demostrado que el núcleo emitió algo, que es la evidencia más débil disponible sobre el camino. Combina la captura con un síntoma repetible: mismo destino, misma operación, mismo tamaño, ejecutado dos veces con una variable cambiada.

Leer la descarga dentro de los números

La segmentación en el host y otras descargas añaden una segunda distorsión, y es la que hace que las capturas locales discrepen del cable. Una captura local puede mostrar búferes que el adaptador divide después, así que las tramas en el enlace son más pequeñas y numerosas de lo que sugiere el archivo. Por eso un búfer grande en el archivo de captura no demuestra que una trama demasiado grande haya cruzado cada enlace. Si los tamaños importan para tu conclusión, registra dónde se tomó la captura y si la descarga estaba activa en esa interfaz.

De lo contrario estás midiendo la comodidad del host y no el comportamiento del camino. Dos archivos etiquetados con su interfaz y estado de descarga resuelven la mayoría de estas discusiones en un minuto.

Dónde la captura deja de ser evidencia

Ver paquetes externos cifrados muestra que existe una frontera de protección en estas condiciones de prueba, y no dice nada sobre otras aplicaciones del dispositivo, el manejo del operador ni el estado del propio extremo. Ver texto plano dentro del túnel tampoco significa que el túnel esté roto; significa que capturaste por encima del punto de cifrado, que es un lugar legítimo donde mirar. Una captura es evidencia sobre un lugar, no un veredicto sobre un sistema, y el ticket debería describirlo así. Mantén la frase de alcance en el informe, porque es lo que impide que una sola observación se convierta en una afirmación de auditoría.

Nombra cada archivo con su interfaz, filtro y marca de tiempo, y bórralo cuando termine la investigación. El manual de tcpdump documenta los indicadores de interfaz y filtro usados aquí, incluidos los que mantienen pequeña una captura.

Si debes compartir evidencia, comparte tamaños, marcas de tiempo e indicadores en lugar de la carga. La pregunta era sobre el tamaño del paquete, y la respuesta rara vez necesita los datos de nadie.