MTU de la VPN en iPhone: elige al dueño antes de cambiar un número

Cada hilo sobre el tamaño de los paquetes de la VPN en iPhone acaba ofreciendo el mismo comando de Mac contra una interfaz llamada ppp0, normalmente con un número adjunto. No se traslada, y no sería el control correcto ni siquiera en el Mac a menos que esa interfaz perteneciera a la conexión en cuestión. En el teléfono, el número lo posee quien implementa el túnel: el sistema operativo para un perfil nativo, un proveedor de túnel de paquetes para una aplicación, o la puerta de enlace cuando se negocia un atributo documentado. Tres preguntas aclaran con cuál de esos casos tratas.

Pregunta uno: qué cliente se está ejecutando

Un perfil IKEv2 nativo, el perfil Cisco IPsec integrado y un cliente Cisco de terceros son tres implementaciones distintas con tres conjuntos distintos de atributos compatibles. El tipo de perfil en Ajustes te dice cuál inició realmente el teléfono, y la lista de aplicaciones te dice si hay algún proveedor en la ruta. Empieza por ahí, porque el resto de la decisión se deriva de ello. Si no aparece ningún proveedor en la lista de aplicaciones, el sistema operativo posee el túnel.

No deduzcas la implementación del fabricante de la puerta de enlace. Una cabecera Cisco puede terminar conexiones de clientes que no comparten nada más que el nombre del fabricante. Una captura de una compilación antigua en una versión antigua te dice qué soportaba ese par, no qué hace el teléfono que tienes en la mano.

Pregunta dos: quién posee el valor

Apple expone una propiedad MTU a los desarrolladores de túneles de paquetes mediante el objeto de ajustes de la extensión de red. Es una API para el proveedor que configura su propio túnel, no un interruptor que un usuario o un administrador pueda accionar en el cliente instalado de otra persona. Una aplicación de terceros puede optar por exponerla, ignorarla o fijar un valor de forma rígida.

Para un perfil nativo, el sistema operativo elige el tamaño de la interfaz, y el teléfono no expone ningún editor para ello. Para una puerta de enlace Cisco de acceso remoto existe un atributo documentado para el perfil de conexión, y si se aplica depende del cliente, la versión y el transporte negociado. Esa brecha entre lo documentado y lo respetado es donde falla un número copiado.

Pregunta tres: si el síntoma depende del tamaño

Los problemas de tamaño tienen una firma: las solicitudes pequeñas tienen éxito, las cargas grandes o las respuestas grandes se cuelgan, y el mismo servicio funciona por otra red de acceso. El filtrado, un límite de carga útil de la aplicación y un servidor atascado pueden producir una queja parecida, así que registra la operación que falla junto a una que funcione. Anota ambas con horas y tamaños si la aplicación los informa. Sin ese par, cada cambio posterior es una conjetura.

Ejecuta la misma prueba en Wi-Fi y en datos móviles. Un fallo que sigue a la red apunta a la ruta; uno que sigue al dispositivo apunta al cliente o al perfil, y ambos necesitan dueños distintos. Usa el mismo servicio y la misma cuenta para las dos ejecuciones, o la comparación no te dirá nada.

Por qué la receta de Mac no deja de aparecer

Años de VPN de escritorio basadas en PPP convirtieron un cambio de tamaño de interfaz en un apaño local legítimo, y esas instrucciones se copiaron hacia los hilos de móvil. En el teléfono no hay shell, ni ese nombre de interfaz, ni persistencia tras una reconexión. Una receta que resolvió un problema de escritorio en 2011 viajó mucho más lejos que las condiciones que la hacían cierta. Los clientes móviles no aceptan ningún comando de shell para esto, diga lo que diga el hilo.

Trata el valor copiado como una hipótesis sobre una ruta, no como un ajuste. Si un tamaño menor hace que una transferencia funcione y uno mayor falla de forma fiable, tienes pruebas sobre la ruta; aún debes encontrar el componente al que se le permite actuar sobre ella. Esa búsqueda suele terminar en el perfil de la puerta de enlace o en el proveedor de la aplicación, y rara vez en el teléfono.

El transporte cambia la respuesta

Si la sesión va sobre TLS en lugar de IPsec, un ajuste de segmentación TCP en la puerta de enlace puede ayudar, porque reescribe el tamaño de segmento anunciado para los flujos TCP. No hace nada por el tráfico UDP, que abarca más parte de la web moderna de lo que la gente espera. Comprueba el transporte negociado antes de proponer el cambio, y nombra en el ticket a qué transporte esperas que afecte.

El descubrimiento de MTU de ruta existe para que los extremos aprendan el límite real en lugar de adivinarlo. Bloquear la realimentación y fijar un tamaño pequeño cambia una transferencia grande que funciona por un coste permanente y oculto en cada conexión.

Qué preguntar al equipo de la puerta de enlace

Pide tres cosas: el nombre exacto del atributo y su alcance, si los clientes desplegados lo respetan, y qué transporte negoció la sesión. Un cambio aplicado a una política de grupo es comprobable; una edición global no lo es, y traslada el riesgo a usuarios que nunca informaron de un problema. Pide también la referencia del documento, porque los nombres de atributos cambian entre versiones.

Luego cambia una cosa y vuelve a probar la operación original que falla, no una descarga de test de velocidad. Guarda el registro de antes y después con la versión del cliente y la red de acceso, para que el siguiente informe se pueda comparar en lugar de volver a discutirse.

Si la operación sigue fallando con el tamaño original, el tamaño no era la causa. Registra también esa conclusión, para que la siguiente persona no reabra la misma hipótesis.