Tras montar una VPN entre sedes, el ping funciona pero las páginas HTTPS y las copias grandes se cuelgan. ¿Qué sospechás y cómo lo arreglás?

El patrón "paquetes chicos pasan, grandes se cuelgan" apunta a un problema de MTU / PMTUD. El túnel agrega cabeceras (IPsec, WireGuard, GRE), así que la MTU efectiva baja de 1500. El ping y el handshake TCP usan paquetes chicos, pero el certificado TLS o una transferencia llenan segmentos completos.
Normalmente, un paquete con el bit DF que no entra provoca que el router devuelva ICMP tipo 3 código 4 (Fragmentation Needed), o ICMPv6 Packet Too Big, y el emisor reduce el tamaño. Si un firewall bloquea "todo ICMP", ese aviso nunca llega: es un PMTUD black hole y la conexión queda colgada hasta el timeout.
Diagnóstico:

# Linux: 1472 + 28 de cabeceras IP/ICMP = 1500
ping -M do -s 1472 10.20.0.5
tracepath 10.20.0.5
# Windows
ping -f -l 1472 10.20.0.5
# Ver retransmisiones de segmentos grandes
tcpdump -ni wg0 'tcp and host 10.20.0.5'

Voy bajando el tamaño hasta encontrar el máximo que pasa.
Soluciones, en orden de preferencia:

• Permitir los ICMP necesarios (Fragmentation Needed / Packet Too Big) en los firewalls; en IPv6 es obligatorio.
• MSS clamping en el equipo que enruta hacia el túnel:
  

  iptables -t mangle -A FORWARD -p tcp --tcp-flags SYN,RST SYN -j TCPMSS --clamp-mss-to-pmtu

• Fijar una MTU correcta en la interfaz del túnel.
• Habilitar PLPMTUD en hosts (net.ipv4.tcp_mtu_probing=1) como red de seguridad.

MSS clamping solo cubre TCP; para UDP (por ejemplo QUIC) hay que corregir la MTU o el filtrado de ICMP.

Culpar al DNS o al servidor web porque el ping anda. Bloquear todo ICMP por "seguridad" sin entender que rompe PMTUD, o creer que MSS clamping también arregla el tráfico UDP.