MTU y MSS en MikroTik: por qué la VPN 'carga a medias' y cómo arreglarlo

Hay un problema clásico que vuelve loco a cualquier técnico: la conexión "funciona", el ping anda, pero algunas páginas cargan a medias, los archivos grandes fallan y la VPN se comporta raro. Casi siempre la causa es la misma y tiene nombre: MTU/MSS. La buena noticia es que se arregla con una regla.

Qué es el MTU (en simple)

El MTU es el tamaño máximo de un paquete que cabe por un enlace (típicamente 1500 bytes en Ethernet). El problema aparece con túneles (WireGuard, GRE, PPPoE, IPsec): al agregar sus cabeceras, el paquete ya no cabe entero. Debería fragmentarse, pero muchas veces un firewall en el camino bloquea los mensajes que avisan del problema (ICMP), y el paquete grande simplemente se pierde en silencio. Resultado: conexiones que se cuelgan a mitad de camino.

La solución: MSS clamping

El MSS es el tamaño máximo de datos que TCP acuerda al iniciar una conexión. Con MSS clamping, el router "ajusta" ese valor al inicio de cada conexión para que los paquetes siempre quepan por el túnel, sin depender de la fragmentación ni de los mensajes ICMP. Es una regla de mangle que resuelve el problema de raíz:

/ip/firewall/mangle
add chain=forward protocol=tcp tcp-flags=syn action=change-mss new-mss=1300 \
    out-interface=pppoe-out tcp-mss=1301-65535

Esto le dice: en las conexiones nuevas que salen por el túnel, si el MSS es mayor a 1300, bájalo a 1300. Con eso, ninguna sesión intenta mandar paquetes que no caben. El valor exacto depende del túnel (WireGuard, GRE e IPsec restan distinto); 1300–1400 suele ser seguro.

Cómo reconocer que es MTU/MSS

• El ping normal anda, pero un ping con paquetes grandes (sin fragmentar) falla.
• Algunas webs cargan el texto pero no las imágenes, o se quedan "a medias".
• La VPN conecta, pero transferir archivos grandes se cuelga.
• SSH conecta pero se congela al mostrar mucho texto.

Si ves este patrón, casi seguro es MSS. Es el "arréglalo y desaparece" más satisfactorio de las redes.

En MikroTik Chile diagnosticamos y resolvemos estos problemas silenciosos de MTU/MSS que degradan túneles y enlaces sin dar la cara. Si tu VPN o tu internet "a veces cargan a medias", lo encontramos y lo cerramos.