VPN IPsec conecta pero no descarga archivos grandes: cómo identificar problemas MTU y MSS

Una VPN IPsec puede aparecer conectada y permitir acceso a diferentes servidores, pero experimentar problemas al transferir archivos de mayor tamaño.

Este comportamiento puede generar confusión porque las conexiones pequeñas funcionan normalmente.

En algunos casos, la causa está relacionada con la MTU efectiva del túnel y con el tamaño de los segmentos TCP.

¿Qué es MTU?

Maximum Transmission Unit representa el tamaño máximo del paquete permitido en una conexión o camino de red.

Las redes Ethernet convencionales suelen utilizar una MTU IP de 1500 bytes.

Sin embargo, cuando una conexión utiliza IPsec, se añaden cabeceras adicionales para proporcionar encapsulación y seguridad.

Esto puede reducir el tamaño disponible para los datos originales.

¿Qué es TCP MSS?

Maximum Segment Size define la cantidad máxima de datos que un equipo anuncia que puede recibir mediante un segmento TCP.

El valor MSS se negocia durante el establecimiento de la conexión.

Si los segmentos resultan demasiado grandes para el camino real, pueden presentarse problemas de fragmentación.

¿Por qué funcionan las transferencias pequeñas?

Los paquetes pequeños pueden atravesar correctamente una conexión, mientras que los paquetes mayores requieren un tratamiento adicional.

Cuando Path MTU Discovery funciona, el origen puede ajustar el tamaño de los paquetes.

Pero si los mensajes necesarios no llegan, determinadas conexiones pueden quedarse esperando información.

Esto se conoce como un posible PMTUD black hole.

FortiOS 7.6 y TCP MSS

Fortinet documentó cambios en el manejo de TCP MSS para túneles IPsec a partir de FortiOS 7.6.1.

En las versiones afectadas, el firewall dejó de realizar automáticamente ciertos ajustes MSS y el funcionamiento de PMTUD adquirió mayor importancia.

La incidencia depende de la versión, el equipo y la arquitectura.

No todas las instalaciones presentan el problema.

Comandos que pueden ayudar

Para revisar el túnel IPsec:

diagnose vpn tunnel list

Para consultar el túnel específico:

diagnose vpn tunnel list name NOMBRE_TUNEL

Para revisar la interfaz:

diagnose netlink interface list NOMBRE_TUNEL

También podemos utilizar pruebas de paquetes IPv4 con Don't Fragment desde Windows o Linux.

Estas pruebas ayudan a identificar posibles límites del camino, pero deben complementarse con capturas y comprobaciones del tráfico real.

Evita cambiar valores sin medir

Una recomendación habitual es reducir MTU o MSS hasta que la conexión funcione.

Sin embargo, no existe un valor único para todas las VPN.

Debemos considerar el tipo de encapsulación, la MTU efectiva, la presencia de NAT-T y el comportamiento de los equipos.

También debe evaluarse cualquier modificación relacionada con aceleración por hardware.

Conclusión

El hecho de que una VPN aparezca conectada no demuestra que todos los tamaños de paquetes puedan atravesarla correctamente.

Una investigación adecuada requiere comprobar el túnel, medir la MTU efectiva, revisar TCP MSS y validar las aplicaciones afectadas.

En Biblioteca Virtual SISTRO 2.0 publicamos una guía técnica completa para este escenario, con comandos FortiOS, pruebas Windows y Linux, recomendaciones y checklist.

Consulta el artículo original:

https://sistro.net/fortigate-ipsec-archivos-grandes-mtu-mss