Break-Fix : routage asymétrique à travers deux pare-feu

Incident — Les utilisateurs du LAN (10.10.0.0/16) n'atteignent plus srv-rh01 (10.50.0.21, HTTPS) depuis l'ajout d'une seconde interface d'administration (eth1, 10.60.0.21) sur ce serveur. La règle de pare-feu FW-A est correcte.

Sur srv-rh01 :

1. sudo tcpdump -ni any -c 4 port 443 and host 10.10.3.40 : sur quelle interface arrive le SYN, et sur laquelle part le SYN-ACK ? → answer arrivee <eth0|eth1> et answer depart <eth0|eth1>
2. ip route : quelle route explique le départ par la mauvaise interface ? → answer route <prefixe>
3. Le SYN-ACK passe par FW-B, qui n'a jamais vu le SYN : que fait un pare-feu à états ? → answer pare-feu <drop|accept>
4. Corrigez : supprimez la route trop large et ajoutez la route précise du réseau d'administration (sudo ip route del 10.0.0.0/8 via 10.60.0.1, sudo ip route add 10.60.0.0/16 via 10.60.0.1 dev eth1), puis testez curl -sI https://10.50.0.21 depuis le LAN (ssh poste-lan curl -sI https://10.50.0.21)