MTU y MSS en túneles IPsec (PA y Meraki)
Contenido complementario
Este tema no está en las notas de mis cursos; está armado con la documentación oficial de Meraki y de Palo Alto (consultadas en octubre de 2026). Los artículos de Palo Alto sobre el cálculo exacto del MSS son antiguos (probados en PAN-OS 6.0): usa las cifras como orden de magnitud. 🔎 Verificar en tu versión.
Pendiente: validar en el lab
Este contenido no salió de mis clases. Probar estos comandos y pasos en el laboratorio antes de usarlos en un trabajo real, y corregir lo que difiera en mi versión.
Resumen
Un túnel IPsec añade cabeceras a cada paquete, así que el tamaño útil baja por debajo de 1500 bytes. Si el MTU o el MSS no se ajustan, ocurre el síntoma clásico: el ping funciona, las conexiones pequeñas funcionan y las grandes (transferencias, páginas pesadas, SMB) se cuelgan. Esta nota da la cuenta de la sobrecarga, cómo probar el MTU real de extremo a extremo y qué ajustar en el Palo Alto y en el MX.
Requisitos previos
- Haber leído Troubleshooting IPsec PA a Meraki y Non-Meraki VPN Peers (IPsec)
- Poder ejecutar
pingcon el bit DF desde un host de cada lado - Saber el MTU de los uplinks (PPPoE reduce a 1492; los enlaces celulares suelen ser menores)
Conceptos clave
| Dato | Valor | Fuente |
|---|---|---|
| Sobrecarga de IPsec no-Meraki en el MX | hasta 100 bytes | Meraki, Troubleshooting MTU Issues |
| MTU de WAN y LAN del MX | 1500; no soporta jumbo; PPPoE máximo 1492 | Meraki |
| Cambiar el MTU de VPN no-Meraki | Solo vía soporte de Meraki; MX ≥ 19.1.12 (o ≥ 19.2.4 en esa rama) | Meraki |
| Ajuste automático de MSS del PA en IPsec | El MSS efectivo es el menor entre (MTU del túnel − 40) y un valor calculado según MTU, cifrado y autenticación | Palo Alto KB (antiguo) |
| Ejemplo del KB de PA | MTU de túnel 1500 con AES-256/SHA1 → MSS 1388; MTU de túnel 1400 → MSS 1360 | Palo Alto KB (antiguo) |
| IPv4 MSS Adjustment Size en interfaz L3 | Rango 40–300, por defecto 40 (Advanced → Other Info) | Palo Alto docs |
Regla práctica que cuadra con ambas fuentes: si la sobrecarga máxima del MX es 100 bytes, un MTU de túnel de 1400 en el PA da un MSS de 1360. Es una recomendación de trabajo, no un valor oficial único: valídala con la prueba de abajo.
Configuración (Ejemplo)
1. Probar el MTU real
Con el bit DF activo, 1472 bytes de datos + 28 de cabeceras = 1500:
# Linux
ping -s 1472 -M do 192.168.50.10
# Windows
ping -l 1472 -f 192.168.50.10
# macOS
ping -s 1472 -D 192.168.50.10Baja de 10 en 10 hasta que responda: ese tamaño más 28 es tu MTU útil de extremo a extremo. Prueba a través del túnel (host detrás del PA hacia host detrás del MX).
2. Palo Alto
- Network → Interfaces → Tunnel → tunnel.X → MTU: baja el MTU del túnel (por ejemplo 1400).
- El PA ajusta el MSS en el handshake TCP del tráfico por IPsec con independencia del ajuste de la interfaz externa; el valor sale del MTU del túnel.
- Si hay tráfico con DF activo mayor que el MTU, el PA devuelve ICMP “frag-needed”. Si algún equipo en el camino bloquea esos ICMP, el emisor nunca baja el tamaño y la conexión se cuelga (“black hole”).
- Para otros casos: Layer 3 → Advanced → Other Info → Adjust TCP MSS (por defecto 40 bytes de reducción).
3. Meraki
- El MTU de la WAN solo se cambia con soporte de Meraki. Para el resto, ajusta el MTU/MSS en los clientes (por ejemplo, con la opción 26 de DHCP) o confía en el ajuste de MSS del PA para el tráfico que lo atraviese.
- Los registros de cambios de firmware citados en la comunidad de Meraki incluyen la corrección del TCP MSS clamping para tráfico por peers no-Meraki en MX 19.1.11 (id MX-2492, que un usuario dice que luego se retiró de las notas) y en MX 19.2.2. No hay notas oficiales que lo confirmen: comprueba en las tuyas que tu versión las incluye.
Verificación
| Comando o lugar | Qué debes ver | Si no lo ves |
|---|---|---|
| Ping DF con 1472 bytes | Falla, y con el tamaño ajustado funciona | Si siempre funciona, el problema no es el MTU |
Transferencia grande (copia de archivo, iperf) | Ya no se cuelga | Revisa que no se bloqueen los ICMP “Fragmentation Needed” |
show vpn flow | Sin descartes de ESP anormales | Troubleshooting Toolkit |
Errores comunes
”El ping va pero SMB/HTTPS se cuelga”
- Causa: es el síntoma clásico de MTU/MSS.
- Solución: haz la prueba DF, baja el MTU del túnel y revisa que no se bloqueen los ICMP “Fragmentation Needed”.
Ajusté el MSS pero sigue fallando con UDP
- Causa: el MSS solo afecta a TCP.
- Solución: para UDP/ICMP depende del MTU y de la fragmentación.
Solo falla desde un sitio
- Causa: el uplink de ese sitio tiene un MTU menor (PPPoE 1492 o celular).
- Solución: compara el MTU del uplink y ajusta el túnel de ese sitio.
Cambié el MTU de la WAN en el MX y no deja
- Causa: no es un ajuste del Dashboard.
- Solución: requiere soporte de Meraki y una versión mínima.