El incidente descrito, conocido como "PMTUD Black Hole", surge de una incompatibilidad fundamental entre los protocolos de seguridad modernos con mayor overhead de paquetes y la infraestructura de red legada. Los protocolos modernos, como los utilizados por el cliente Cloudflare One, encapsulan datos con metadatos y cifrado adicionales, lo que aumenta el tamaño efectivo de los paquetes. La infraestructura de red antigua, especialmente routers y firewalls, a menudo tiene una expectativa rígida de un Maximum Transmission Unit (MTU) de 1500 bytes y puede no manejar correctamente paquetes más grandes.
La causa raíz de la "agujero negro" es el fallo de los dispositivos de red intermedios en adherirse al comportamiento esperado del Path MTU Discovery (PMTUD). Cuando un paquete excede la MTU de un segmento de red, el router debería enviar un mensaje ICMP "Destination Unreachable" (Tipo 3, Código 4) de vuelta al remitente, indicando la MTU máxima permitida. Sin embargo, muchos firewalls y middleboxes están configurados para descartar silenciosamente estos mensajes ICMP por razones de seguridad o por una configuración incorrecta, creando un "black hole" para el feedback crítico. Sin esta retroalimentación, el remitente continúa enviando paquetes de tamaño excesivo que son descartados, lo que lleva a timeouts de conexión y una experiencia de usuario degradada.
Las salvaguardas existentes, como el PMTUD pasivo basado en ICMP, fallaron porque dependían de un comportamiento cooperativo de la red que no siempre se cumple en el mundo real. La solución de Cloudflare aborda esto con un PMTUD activo y end-to-end, aprovechando el protocolo MASQUE sobre QUIC. Al sondear proactivamente la ruta con paquetes de diferentes tamaños y observar las respuestas (o la falta de ellas) desde el edge de Cloudflare, el cliente puede determinar la MTU efectiva de la ruta sin depender de los mensajes ICMP que pueden ser bloqueados. Esto permite una adaptación dinámica y resiliente al tamaño de paquete óptimo, mitigando el impacto de la infraestructura de red no cooperativa.