Anatomía del Paquete y la Pila de Transporte

Antes de mirar una cabecera: ¿qué incidente estás intentando explicar?

Una aplicación intenta abrir api:8080 y expira. Ese síntoma no dice todavía si el servidor cayó, si el puerto está cerrado, si una ruta no existe, si un firewall descartó el tráfico o si la respuesta se perdió al volver. Este módulo te enseña a separar esas hipótesis con evidencia, no a memorizar números de protocolo. [1]

Al terminar deberías poder defender una frase precisa como: “el cliente emitió SYN; el router lo reenvió; el servidor respondió RST” o “el SYN no llegó al servidor”. Es una conclusión mucho más útil que “la red está fallando”.

El mapa mínimo: una petición es varias decisiones encadenadas

proceso cliente
      │ abre socket TCP hacia api:8080
      ▼
TCP ── ¿hubo SYN, SYN-ACK, ACK o RST?
      │ encapsula datos
      ▼
IPv4 ── ¿qué destino, protocolo, TTL y tamaño lleva?
      │ consulta ruta
      ▼
router/firewall ── ¿por dónde sale y se permite?
      │
      ▼
servidor ── ¿hay listener y qué respuesta regresa?

No necesitas estudiar todos los campos ahora. Empieza por cuatro preguntas: qué host/puerto se intentó alcanzar, si TCP abrió sesión, por qué ruta viajó y en qué punto se capturó la evidencia. TTL, fragmentación, offsets y checksum aparecen después porque explican por qué una captura o una ruta pueden engañarte. [2]

Ruta de estudio de este módulo

1. Primero reconoce las firmas TCP de un timeout, un puerto cerrado y una sesión sana.
2. Después usa IPv4 y CIDR para entender a dónde debía ir el paquete.
3. Luego observa cómo TTL, MTU y fragmentación alteran el tránsito.
4. Por último relaciona el PCAP con firewall stateful, NAT y el punto de captura.

El módulo siguiente responderá una nueva pregunta: cuando ya sabes qué pasó con el paquete, ¿qué objetos del kernel Linux —namespace, veth, bridge, ruta y Netfilter— hicieron que ocurriera?

Lectura de bytes: de hexadecimal a decisión de red

Un analista no empieza por Wireshark: empieza por invariantes. En una cabecera cuyo inicio es 45 00 00 3c, el byte 45 se separa como 0100|0101: versión 4 e IHL=5, por tanto L4 comienza en el byte 20. 00 3c es 60 bytes de datagrama total. Si Flags+Offset es 40 00, DF está activo y offset=0: un router con MTU menor no debe fragmentar; devuelve ICMP Fragmentation Needed. En una ruta de contenedores, esa señal puede desaparecer por filtrado y convertirse en un fallo que sólo aparece con respuestas grandes. [3]

Byte:        0          1          2          3
Hex:        45         00         00         3c
Bits:     0100|0101       DSCP       Total Length = 60
          IPv4 | IHL=5                 └─ 20 B IP + 20 B TCP + 20 B data/options

TCP no es una secuencia de tres paquetes

El handshake fija dos espacios de secuencia independientes. Si cliente emite SYN con SEQ=1000 y servidor SYN-ACK con SEQ=7000, el ACK final vale 7001; cuando cliente envía 120 bytes con SEQ=1001, ACK acumulativo esperado es 1121. Una ventana cero no es caída de red sino back-pressure del receptor. Window Scale y MSS se negocian en SYN; comparar sólo Window sin escala da un diagnóstico equivocado. [4]

cliente                                      servidor
SYN SEQ=1000, MSS=1460, WS=7  ───────────►  LISTEN → SYN-RECEIVED
◄─────────── SYN,ACK SEQ=7000 ACK=1001      reserva estado
ACK SEQ=1001 ACK=7001         ───────────►  ESTABLISHED
PSH,ACK SEQ=1001 LEN=120      ───────────►
◄─────────── ACK=1121                      confirma bytes, no paquetes

Caso de producción: IP no equivale a identidad

Un pod de pagos que permite 10.44.0.0/24 puede aceptar otra carga tras reprogramación. La tupla L3/L4 depura flujo, no afirma quién es el workload. La defensa combina ruta, política stateful, identidad y telemetría. [5]

Referencia técnica: campos y estados que sostienen el diagnóstico

IPv4 mínimo tiene 20 bytes: Version=4, IHL en palabras de 32 bits para localizar L4, Total Length, Identification, flags DF/MF, Fragment Offset, TTL, Protocol y checksum de cabecera. TTL cero causa ICMP Time Exceeded; Protocol es TCP=6, UDP=17, ICMP=1. El checksum se recalcula cuando NAT o router modifica cabecera. [3]

Una ruta se elige por longest-prefix match; /p contiene 2^(32-p) direcciones. CIDR expresa alcance, no autorización. Campos origen/destino pueden ser falsificados dentro de una red permisiva; fragmentos pueden evadir controles que no reensamblen igual; ACL TCP deja UDP/ICMP sin política. [3]

TCP usa 4-tupla, SEQ y ACK. ACK es siguiente byte esperado; SYN y FIN consumen secuencia. Apertura: SYN(x), SYN-ACK(y,x+1), ACK(y+1); cliente CLOSED→SYN-SENT→ESTABLISHED, servidor LISTEN→SYN-RECEIVED→ESTABLISHED. FIN cierra una dirección; RST aborta estado. [4]

Una política stateful autoriza SYN esperado y retorno ESTABLISHED,RELATED. Timeout sin SYN-ACK es compatible con DROP; RST demuestra stack alcanzable sin listener. Capture sobre veth/NIC, no sólo any: offload/NAT alteran evidencia. [5]