En un spoke DMVPN configurado con ip mtu 1400, ¿qué comando habilita la fragmentación y el MTU TCP máximo negociado sobre GRE/IPsec?

La opción correcta es ip tcp adjust-mss 1360 crypto ipsec fragmentation after-encryption. Este comando ajusta el Maximum Segment Size (MSS) de TCP para evitar la fragmentación en el router de origen, lo cual es crucial en DMVPN con IPsec. El valor 1360 se deriva de restar los encabezados de GRE (24 bytes) e IPsec (aproximadamente 40 bytes) del MTU de 1400 bytes. La cláusula crypto ipsec fragmentation after-encryption permite que el router fragmente los paquetes después de la encriptación IPsec, lo cual es el comportamiento deseado para evitar problemas de reensamblaje y rendimiento. Las opciones con mtu-discovery son incorrectas porque la detección de MTU (Path MTU Discovery) puede no funcionar correctamente a través de túneles IPsec, especialmente con NAT. Las opciones con ip tcp payload-mtu son incorrectas porque este comando no existe; el comando correcto para ajustar el tamaño máximo de segmento TCP es ip tcp adjust-mss.