O datagrama IP que foi fragmentado carregava 3.008 bytes.

Correto.

Na linha 1, temos (1480@0+), no qual o 1480 significa a quantidade de dados do fragmento, o offset é 0 (primeiro fragmento), e há mais fragmentos por vir
Na linha 2, temos (1480@1480+), no qual o 1480 significa a quantidade de dados do fragmento, o offset é 1480, e ainda há mais fragmentos por vir
Na linha 3, temos (48@2960), no qual o 48 significa a quantidade de dados do fragmento, o offset é 2960, e não há mais fragmentos por vir

Com isso, podemos concluir que o fragmento original que foi fragmentado tinha 3008 (1480+1480+48) bytes.

DESCRIÇÃO DE TODO O TRÁFEGO(O MAIS IMPORTANTE PARA NÓS)

As linhas de 1 a 3 mostram o envio do ping , que é conhecido como ICMP echo request , já as linhas 4 a 6 mostram a resposta a este, ou seja, ICMP echo reply.

-------------------------

LINHA (1): Nesta linha a máquina 10.1.1.1 envia para a máquina 10.1.1.2 um ping com número de identificação 10550 (onde tem frag 10550)  e com o fragment offset de 0 (onde tem 0+). O sinal de mais(+)que acompanha o 0 indica more fragments = 1, ou seja, há mais fragmentos desse datagrama por vir. O valor 1480  desta linha (onde tem 1480@0+) indica que este datagrama IP possui 1480 bytes de dados. Como os ICMP possuem identificadores próprios, o valor 4864 (onde tem seq 4864) é o valor de identification para o icmp.

-----------------------------

LINHA (2): Nesta segunda linha, percebemos que o valor de identificação do IP é de 10550 no valor de frag. Todos os fragmentos de um mesmo pacote IP possuem o mesmo valor de identificação, o mesmo campo protocol e o mesmo endereço de origem e destino. Bom, podemos perceber que as linhas 1, 2 e 3 possuem o mesmo valor de frag, que é 10550, portanto, os três fragmentos pertencem ao mesmo datagrama IP original. Ainda na linha 2, podemos perceber que o fragment offset é de 1480, há mais fragmentos por vir devido ao sinal "+", e há 1480 bytes no payload do IP.

---------------------------

LINHA (3): Nesta linha, o fragment offset é de 2960, NÃO há mais fragmentos por vir devido a AUSÊNCIA do sinal "+", e há 48 bytes no payload do IP. Esta linha ainda é fragmento do pacote com frag 10550.

--------------------------------

LINHA (4-6): Mostram a resposta ao ping. Seguem a mesma ideia das linhas 1 a 3. Porém agora temos três fragmentos de echo reply e identification de IP = 3672.

--------------------------------

Bibliografia;

LIVRO ANÁLISE DE TRÁFEGO EM REDES TCP/IP-JOÃO ERIBERTO MOTA FILHO-2013-EDITORA NOVATEC, 

PÁGINA 116-117.

Sim, e os 20 bytes de cabeçalho? O datagrama carregava mais!