- Wireshark permite capturar, filtrar y analizar en detalle el tráfico para localizar latencia, pérdida de paquetes y problemas de TCP.
- La combinación de Wireshark con PingPlotter y capturas en varios puntos de la red ayuda a aislar si el retraso está en servidores, balanceadores o switches.
- Ventanas TCP, congestión y dependencias entre aplicaciones influyen de forma decisiva en la latencia percibida, más allá del mero ancho de banda.
- Es imprescindible respetar la legalidad y aplicar buenas prácticas de segmentación, filtrado y autorización al monitorizar redes con estas herramientas.
Tener la latencia bajo control entre servidores y aplicaciones ya no es un “extra” para admins frikis de redes: es puro negocio. Cuando un servidor responde tarde, la web va lenta, las apps se cuelgan y empiezan las quejas de usuarios y de sistemas. En entornos virtualizados con balanceadores, firewalls, Nexus, ESXi y compañía, saber si el problema es real y dónde se produce es clave para no volverse loco tocando donde no es.
Wireshark y herramientas como PingPlotter u Omnipeek permiten ir mucho más allá del típico ping. Con ellas puedes medir con precisión los tiempos de ida y vuelta, localizar pérdida de paquetes, ver si un balanceador mete retraso, si VMware o el switch añaden jitter, o si la aplicación es la culpable. En este artículo vas a ver, con bastante detalle, cómo optimizar y probar latencia de red combinando captura de paquetes y análisis gráfico, y cómo aplicar todo esto a escenarios reales con servidores virtuales y switches Nexus.
Qué es la latencia de red y por qué se dispara
La latencia de red es el tiempo total que tarda una petición en salir desde un origen, llegar al destino, procesarse y volver con la respuesta. Es lo que en muchos manuales verás como RTT (Round Trip Time) o tiempo de ida y vuelta. Cada clic en un enlace, cada consulta a un servidor web o a una base de datos recorre la red y vuelve, sumando pequeños retardos en cada salto.
Cuando hablamos de baja latencia nos referimos a retrasos muy cortos, casi imperceptibles para el usuario. Por el contrario, una latencia excesiva hace que abrir páginas, cargar informes o jugar online se convierta en una experiencia desesperante. Aunque el ancho de banda sea alto, una latencia mala tumba la sensación de velocidad.
En la práctica, la latencia incluye tanto el viaje por la red (routers, switches, balanceadores, enlaces WAN…) como el tiempo que tarda el servidor destino en procesar la petición. Si tu servidor está saturado o la aplicación hace consultas encadenadas a otros servicios, puedes notar “red lenta” aunque el camino IP sea perfecto.
Entre las causas más habituales de latencias altas están la congestión, la pérdida de paquetes, colas en dispositivos intermedios, tamaños de ventana TCP mal ajustados, dependencias entre aplicaciones y, cómo no, hardware o configuraciones poco optimizadas. Tu misión al monitorizar con Wireshark y PingPlotter será ir descartando, capa a capa, de dónde viene el cuello de botella.
Wireshark: el bisturí para ver qué pasa en la red
Wireshark es el analizador de protocolos de red más usado del mundo, gratuito y de código abierto. Es capaz de hacer una inspección profunda de cientos de protocolos de todas las capas: física, enlace, red, transporte y aplicación. Captura tráfico en tiempo real y te permite guardarlo para analizarlo después, incluso en otro equipo.
La herramienta se puede usar con interfaz gráfica (GUI) o mediante su equivalente en consola, TShark, ideal si quieres trabajar por SSH o automatizar análisis en scripts. Wireshark lee y escribe formatos de captura estándar como libpcap (tcpdump), pcapng y muchas otras extensiones, así que encaja perfectamente con capturadores externos de routers, firewalls o sistemas como pfSense.
Uno de los pilares de Wireshark son los filtros, tanto de captura como de visualización. Son los que te permiten centrarte solo en el tráfico que te interesa: una IP concreta, un par origen/destino, un puerto, un protocolo, flujos TCP individuales, etc. Sin filtros, te verías sepultado bajo miles de paquetes irrelevantes.
En cuanto a compatibilidad, Wireshark es multiplataforma: funciona en Windows, Linux y macOS, y está presente de serie en muchas distros orientadas a ciberseguridad. Soporta tecnologías de red muy variadas (Ethernet, Wi-Fi IEEE 802.11, PPP/HDLC, ATM, Bluetooth, USB, Token Ring, Frame Relay, FDDI…) y, con las claves adecuadas, puede incluso descifrar tráfico IPsec, TLS/SSL, Kerberos, SNMPv3, WEP, WPA/WPA2, etc.
Instalación, captura y personalización de Wireshark
Para instalar Wireshark basta con ir a su web oficial, descargar la versión para tu sistema operativo y seguir el asistente. En Windows, se instala también Npcap, el driver que permite poner la tarjeta en modo promiscuo para capturar todo el tráfico que entra y sale. Hoy Npcap está maduro y sustituye sin problema al antiguo WinPcap, y puedes consultar cómo optimizar la prioridad de conexión.
En sistemas Linux, normalmente está en el gestor de paquetes. En Debian/Ubuntu, por ejemplo, puedes tirar de un simple sudo apt install wireshark. Conviene tener siempre la última versión por temas de seguridad y nuevas funciones.
Al abrir Wireshark verás todas las interfaces de red del equipo: tarjetas físicas cableadas, Wi-Fi y también interfaces virtuales (VMware, VirtualBox, túneles, etc.). Solo tienes que identificar cuál es la que te interesa (por ejemplo, la NIC del host ESXi o la del servidor afectado) y hacer doble clic para comenzar a capturar.
Antes de hacer capturas para analizar latencia o cuellos de botella es muy recomendable cerrar todas las aplicaciones que generen tráfico innecesario, y, si el contexto lo permite, desactivar temporalmente el firewall local para que no bloquee o modifique tráfico que quieras observar. Así reduces ruido y te quedas con las comunicaciones relevantes.
Wireshark ofrece muchas opciones de personalización de la interfaz: puedes reorganizar paneles, cambiar esquemas de color, añadir o quitar columnas (por ejemplo, mostrando el tiempo delta entre paquetes, los puertos, el número de bytes en vuelo, etc.), crear perfiles de trabajo diferentes por tipo de análisis y utilizar scripts en Lua o Python para automatizar tareas complejas o análisis específicos.
Ventajas y limitaciones de Wireshark en problemas de latencia
Entre las principales ventajas de Wireshark para analizar latencia destaca su versatilidad: soporta más de 480 protocolos, permite reconstruir sesiones TCP, seguir flujos, ver tiempos de respuesta y analizar estadísticas de conversación y de protocolos. Es una herramienta muy potente tanto para admins de red como para desarrolladores y perfiles de ciberseguridad.
Es especialmente útil para detectar exceso de tráfico, sobreconsumos, pérdidas de paquetes, retransmisiones y fallos de seguridad. Además, en ámbitos educativos sirve para entender cómo se construyen y circulan los paquetes, qué contienen, qué puertos usan, qué protocolos entran en juego y cómo se ve, por ejemplo, un ping ICMP, una resolución DNS o una sesión TLS en crudo.
Como contrapartida, si estás empezando en redes puede resultar un poco abrumador interpretar todos los campos de los paquetes. Hay curva de aprendizaje: al principio cuesta distinguir qué es importante y qué es simplemente ruido. También hay que tener en cuenta que necesita privilegios elevados para capturar en la mayoría de sistemas, algo que a nivel de seguridad es positivo, pero a efectos prácticos puede ser un engorro.
Otro punto a vigilar es que la captura local no siempre refleja el tráfico real que circula por toda la red: solo ves lo que pasa por esa interfaz concreta. Además, capturas muy largas o con muchísimo tráfico pueden consumir bastante RAM y CPU, y ralentizar el equipo desde el que capturas, sobre todo si aplicas filtros complejos en tiempo real.
La parte buena es que Wireshark sigue recibiendo actualizaciones frecuentes, con mejoras de rendimiento, parches de seguridad y nuevos protocolos. No tiene un rival claro, al menos gratuito, con su mismo nivel de profundidad y comunidad, por lo que sigue siendo la navaja suiza del análisis de paquetes.
Cómo usar Wireshark para medir y entender la latencia
Wireshark no solo captura paquetes, también mide tiempos. Puedes calcular cuánto tarda una respuesta en llegar, cuánto se demora un ACK TCP o qué retardo hay entre una petición HTTP y la respuesta del servidor. Esto es fundamental cuando quieres comprobar si “la red va mal” o si el problema está realmente en el servidor o la aplicación.
Una forma directa de ver la latencia es el gráfico de flujo TCP (Statistics > TCP Stream Graph > Round Trip Time Graph). Ahí puedes ver el RTT efectivo de una conexión a lo largo del tiempo, identificar picos, caídas de rendimiento y ver si la ruta presenta latencias altas que justifiquen la lentitud percibida al descargar un archivo o cargar una página.
Además, Wireshark muestra marcadores de retransmisiones, ACK duplicados, paquetes fuera de orden y otros síntomas típicos de pérdida de paquetes y congestión. Estas pistas, combinadas con el tiempo entre segmentos, te ayudarán a diferenciar si la latencia viene por la propia ruta o por la necesidad de reenviar paquetes perdidos.
Para aplicaciones web, el análisis de HTTP/HTTPS es clave. Puedes usar las estadísticas de carga HTTP para ver a qué dominios externos se conecta una página (publicidad, CDNs, trackers, APIs de terceros…). Igual que en el ejemplo de un portal como ESPN, un simple acceso puede disparar peticiones a más de una docena de hosts, y que uno o dos de ellos respondan lentos puede arrastrar a toda la experiencia del usuario.
En definitiva, Wireshark te sirve para diseccionar la comunicación en cada fase: descubrimiento de DNS, establecimiento de la conexión TCP (SYN, SYN/ACK, ACK), negociación TLS si la hay, petición de aplicación, respuesta, y cierre de la sesión. Midiendo tiempos entre estos puntos clave puedes demostrar si el problema está en la red, en el servidor, en el balanceador o en la lógica de la aplicación.
Escenario real: latencia entre dos servidores en el mismo datacenter
Imagina el caso típico: dos servidores virtuales en el mismo DC, ambos sobre VMware ESXi, conectados a switches Cisco Nexus. Un servidor habla con otro que está detrás de un balanceador de carga que, además, hace funciones de router para ese segmento (no es lo ideal, pero pasa mucho). Sistemas se queja de que “entre estos dos servidores hay mucha latencia”.
Lo primero es comprobar si ese problema de latencia realmente existe. Para ello puedes combinar varias aproximaciones: herramientas de línea de comandos (comando ping para medir lag, traceroute), gráficas con PingPlotter y análisis fino con Wireshark. La idea es aislar en qué tramo de la ruta se añade el retraso.
Un enfoque habitual consiste en capturar tráfico en varios puntos: en la VM origen, en el host ESXi de esa VM (si tienes acceso a la interfaz virtual), en el balanceador de carga y, si es posible, en el servidor destino o en su host ESXi. Cuantos más puntos tengas en la ruta, más fácil será localizar dónde se infla el tiempo de ida y vuelta.
En entornos VMware, puedes usar port mirroring en los vSwitch o en los Nexus para enviar el tráfico de un puerto o VLAN hacia una interfaz donde tengas un sniffer (Wireshark, tcpdump, Omnipeek…) y revisar la guía completa de cables Ethernet. En los Nexus, un SPAN o ERSPAN hacia un analizador centralizado te permitirá ver tanto el tráfico de entrada como el de salida del segmento que te preocupe.
Wireshark por sí solo no “combina” capturas de puertos distintos para darte automáticamente la diferencia de tiempo entre un punto y otro, pero sí puedes comparar timestamps entre capturas si los relojes están bien sincronizados (NTP). Herramientas comerciales como Omnipeek o entornos de análisis centralizado facilitan esta correlación multiinterfaz, algo muy útil cuando quieres saber si el problema está justo a la entrada o a la salida de un Nexus o de un balanceador.
Método práctico de análisis de latencia con Wireshark y PingPlotter
Un flujo de trabajo razonable para este tipo de casos podría ser el siguiente, combinando las recomendaciones habituales y las capacidades de las herramientas:
1. Identificar claramente el origen y destino del tráfico que presenta problemas: IP de la VM origen, IP virtual del balanceador (VIP) y IP real de la VM destino. Anota también los puertos implicados (por ejemplo, 443 para HTTPS o 1433 para SQL Server).
2. Ejecutar PingPlotter desde el servidor origen hacia la IP de la VIP y, si es posible, hacia la IP del servidor real. PingPlotter te mostrará, de forma continua, latencia y pérdida de paquetes por salto, lo que ayuda a detectar rápidamente si hay algún tramo de la ruta que se dispara o empieza a perder paquetes.
3. Mientras reproduce el problema, capturar con Wireshark en el servidor origen (o en una máquina en el mismo segmento con SPAN). Fíltralo por dirección IP destino y puerto, por ejemplo: ip.addr == X.X.X.X and tcp.port == 443. Deja que el tráfico fluya mientras la aplicación está “lenta”.
4. Detener la captura y usar las herramientas de análisis de Wireshark: seguir el flujo TCP de la conexión problemática, ver el gráfico de RTT, comprobar si hay retransmisiones, ventanas reducidas, tiempo entre petición y respuesta de aplicación, etc. Esto ya te dirá si la latencia está en el camino IP o en el propio servidor (cuando tarda mucho en responder tras recibir la petición).
5. Si sospechas del balanceador o de los Nexus, configura port mirroring en los puertos físicos o lógicos por donde pasa el tráfico. Luego repite la prueba capturando en esos puntos intermedios. Comparando tiempos de llegada y salida de los paquetes puedes ver si se quedan “atascados” en el balanceador, si hay políticas que priorizan otro tráfico o si el switch introduce colas por congestión.
6. Si tienes acceso a herramientas como Omnipeek de Savvius, puedes aprovechar su capacidad de análisis multi punto, que según su marketing (y experiencia de algunos admins) permite correlacionar capturas de varios puertos y ver directamente la diferencia de tiempo entre entrada y salida. Es muy útil para aislar problemas introducidos por equipos de red concretos.
Wireshark frente a pérdida de paquetes, congestión y tamaños de ventana
Uno de los elementos que más afecta a la latencia percibida es la pérdida de paquetes. Cada vez que se pierde un paquete TCP, se generan retransmisiones y el algoritmo de control de congestión reduce la velocidad de envío para “proteger” la red. Esto alarga de forma notable las descargas de ficheros grandes o las transferencias de datos intensivas.
En Wireshark, la pérdida de paquetes se manifiesta a través de ACK duplicados, retransmisiones marcadas en rojo o naranja, y huecos en la secuencia de números de segmento. Si ves ráfagas de ACK duplicados y retransmisiones, es una señal clara de que algo en la ruta está tirando tráfico o que hay un nivel de congestión severo.
La herramienta también ayuda a visualizar el efecto de las ventanas TCP: ventana deslizante, ventana del receptor y ventana de congestión. La combinación de estas determina cuántos datos pueden estar “en vuelo” sin ser confirmados. Si la ventana del receptor se queda pequeña (por un buffer insuficiente o una aplicación lenta) aparecerán condiciones de “ventana cero”, con pausas brutales en la transferencia.
En escenarios de RTT alto (enlaces lejanos, satélite, etc.), una ventana TCP demasiado conservadora mata el rendimiento, porque la cantidad de datos en vuelo es muy baja respecto a la capacidad del enlace. Wireshark te permite ver si la ventana anunciada por el receptor es razonable para el BDP (Bandwidth Delay Product) de la ruta o si deberías activar window scaling y ajustar parámetros en el sistema operativo, y considerar habilitar jumbo frames.
Si detectas pérdida de paquetes persistente, lo ideal es ir moviendo el punto de captura “aguas arriba” hasta que la pérdida desaparezca. El tramo entre el último punto con pérdida y el primero sin ella te acota el dispositivo problemático: un router saturado, un firewall que no da más de sí, un enlace físico tocado o un balanceador con la CPU al 100 %.
Dependencias de aplicaciones, dispositivos intermedios y SSH con Wireshark
No todos los problemas de latencia son de red pura. Muchas aplicaciones dependen de otros servicios (bases de datos, APIs externas, microservicios, autenticación, DNS) y cualquier lentitud en esas dependencias se traduce en tiempos de respuesta muy pobres para el usuario final.
La estadística de “HTTP load distribution” en Wireshark o la simple visión de las conversaciones te muestra rápidamente cuántos hosts distintos intervienen en la carga de una página o en un proceso concreto. Si para pintar la home de tu web se consultan 16 servidores externos, basta con que uno responda mal para arrastrar a todo el conjunto.
Los dispositivos de interconexión (switches, routers, cortafuegos, balanceadores) también pueden inyectar latencia si están mal dimensionados, saturados o si aplican colas de priorización de tráfico (QoS) demasiado agresivas. En las capturas esto se ve como tiempos adicionales justo al atravesar esos equipos, sin pérdida de paquetes pero con retardos sostenidos.
En el mundo SSH, Wireshark también puede ser un gran aliado para incident response. Aunque la sesión va cifrada, puedes ver número de intentos de conexión, duración de cada flujo, tamaños de paquetes, patrones de accesos desde IP externas, etc. Eso permite detectar ataques de credential stuffing, escaneos masivos de puertos SSH abiertos o actividades laterales una vez alguien ha conseguido acceso remoto.
Filtrando por tráfico SSH interno frente a externo y analizando patrones de origen/destino y volumen, es posible identificar máquinas comprometidas que empiezan a escanear otras internas, o comportamientos anómalos como un host que nunca hablaba con otro y de repente genera un caudal muy alto continuo.
Buenas prácticas, legalidad y precauciones al usar Wireshark
Capturar paquetes equivale a mirar dentro de las comunicaciones de los usuarios. Aunque muchas vayan cifradas, sigue siendo un tema muy sensible en términos de privacidad y cumplimiento legal. En España, y en general en la UE, la difusión o uso indebido de información obtenida así puede encajar en delitos de descubrimiento y revelación de secretos.
La regla de oro es muy sencilla: solo analiza redes propias o para las que tengas un permiso claro y documentado (por ejemplo, un encargo formal de auditoría o troubleshooting). Evita por completo espiar redes Wi-Fi abiertas de terceros, capturar tráfico en sitios públicos o jugar a “a ver qué pillo por aquí”, porque el riesgo legal es real, aunque creas que nadie te ve.
Desde el punto de vista técnico, conviene segmentar la red para que tus capturas no abarquen más datos de los necesarios. Cuantos menos paquetes irrelevantes veas, menos expones información y más fácil será tu análisis. Configurar filtros de captura específicos (por IP, puerto, VLAN) también ayuda a no llevarte tráfico que no deberías tocar.
Hay que recordar que con Wireshark han circulado bulos y malware, como aquel falso “Wireshark Antivirus” que era en realidad un troyano que pedía dinero. La recomendación es obvia: solo descarga Wireshark desde su web oficial o repositorios de confianza, y desconfía de “herramientas milagro” que usen su nombre.
Por último, usa siempre filtros adecuados para evitar ver más datos de los estrictamente necesarios. Usar filtros demasiado amplios no solo te complica la vida, sino que puede dejarte frente a información que no estás autorizado a tratar. Menos es más también cuando hablamos de paquetes.
Alternativas y complementos a Wireshark en el análisis de latencia
Aunque Wireshark cubre la mayoría de necesidades, en algunos escenarios es útil recurrir a herramientas complementarias o alternativas según el tipo de análisis que quieras hacer o el entorno en el que trabajes.
Cloudshark es un servicio web que permite subir ficheros pcap y analizarlos desde el navegador, compartirlos con otros técnicos y aprovechar cierta capa de organización y anotaciones. Es muy cómodo cuando tienes capturas generadas en routers, firewalls o appliances y quieres revisarlas sin instalar nada en local.
SmartSniff es una utilidad ligera para Windows que captura conversaciones entre clientes y servidores mostrando los datos de forma bastante compacta. Es más simple que Wireshark y puede venir bien para análisis rápidos, aunque necesita instalar ciertos componentes para capturar y no tiene el mismo nivel de detalle que el “tiburón”.
Nmap y Tcpdump también son grandes aliados. Nmap, aunque se centra en descubrimiento de hosts y puertos abiertos, es perfecto para entender qué servicios están escuchando en la red y dónde puede haber vectores de ataque o cuellos de botella. Tcpdump, por su parte, es el Wireshark de línea de comandos: ideal en servidores Unix/Linux, ligero y muy potente para capturar y filtrar, aunque la interpretación será más cómoda si luego abres el pcap en Wireshark.
Otras opciones como ColaSoft Capsa u Omnipeek ofrecen interfaces más orientadas a productividad empresarial, análisis consolidado y, en el caso de Omnipeek, esa capacidad más avanzada de manejar capturas multi punto y correlacionar latencias entre puertos. También son útiles para un análisis de equipos para redes. EtherApe, por su parte, da una vista muy visual del tráfico, mostrando nodos y enlaces con grosores y colores según volumen, útil para localizar cuellos de botella de un vistazo.
Uso de “Wireshark” en Android y iOS: lo que sí y lo que no
Wireshark como tal no corre de forma nativa en móviles, ni en Android ni en iOS, pero existen apps que permiten capturar o analizar tráfico desde el teléfono, algo útil para pruebas puntuales en redes Wi-Fi o diagnósticos rápidos.
En Android, aplicaciones como tPacketCapture o Packet Capture usan la API de VPN local para interceptar tráfico sin necesidad de root. Generan ficheros que después puedes abrir con Wireshark en un PC. Shark for Root sí requiere privilegios de administrador, pero a cambio ofrece capturas más completas y flexibles.
En iOS la cosa está más limitada por diseño. No hay Wireshark nativo y el acceso al tráfico está mucho más controlado. Aun así, herramientas como iNetTools, Network Analyzer o HTTPCatcher permiten escanear redes, hacer ping, ver rutas o interceptar y analizar conexiones HTTP/HTTPS dentro de lo que permite el sistema.
Siempre que sea posible, es preferible realizar el análisis serio en un ordenador de escritorio o portátil con buena tarjeta de red y antenas decentes. La capacidad de captura, el rendimiento y las opciones de filtrado son muy superiores a las de un móvil, y podrás trabajar con capturas grandes sin ahogar el dispositivo.
Con todo este arsenal —Wireshark, PingPlotter, tcpdump, Nmap y algunas soluciones comerciales— dispones de un conjunto muy completo para detectar, medir y corregir problemas de latencia y rendimiento en la red. Entendiendo cómo se comporta TCP, dónde se pierden paquetes, qué hacen realmente tus switches, balanceadores y servidores, y respetando siempre la legalidad y la privacidad, podrás pasar de las quejas genéricas de “la red va lenta” a diagnósticos concretos, bien argumentados y con medidas claras para mejorar la experiencia de usuarios y sistemas.
