Sévérité : ÉlevéeAnalyse des flux applicatifs

Connexions coupées par un routage asymétrique à travers un pare-feu à états

```text
kernel: nft-drop-fwd: IN=eth1 OUT=eth0 SRC=10.20.1.15 DST=10.10.2.30 PROTO=TCP SPT=5432 DPT=51544 ACK
conntrack: state INVALID
```

Détecter

Certaines connexions entre deux zones s'établissent puis se figent, ou échouent de façon aléatoire ; le ping passe.

Symptômes

Certaines connexions entre deux zones s'établissent puis se figent, ou échouent de façon aléatoire ; le ping passe.

Environnement

Deux pare-feux à états (un par site) et deux chemins possibles entre les zones ; ajout récent d'une route statique plus spécifique.

Cause racine

L'aller passe par le pare-feu A, le retour par le pare-feu B. B n'a jamais vu le SYN : il considère les paquets de retour comme INVALID et les rejette. L'ICMP, sans état strict, passe.

Diagnostic

traceroute dans les deux sens (depuis la source et depuis la destination).
ip route get sur chaque routeur du chemin.
Journaux des pare-feux : paquets ACK sans connexion connue.

Solution

Rendre le routage symétrique (ajuster la route statique ou les métriques), ou faire passer les deux sens par le même équipement ; en dernier recours seulement, synchroniser les états entre pare-feux (cluster).

Commandes

traceroute -T -p 5432 10.10.2.30
ip route get 10.20.1.15 from 10.10.2.30
conntrack -L -p tcp --dport 5432

Prévention

Schéma des chemins aller/retour dans la documentation des flux, revue de tout changement de routage par l'équipe sécurité, tests de flux TCP (pas seulement ICMP) après changement.