Palo Alto Asymmetric Routing: SYN ve SYN/ACK Farklı Yollardan Gelirse Ne Olur?

İlgili yazılar

Palo Alto Session End Reason: Policy Allow Ama Bağlantı Neden Koptu?

1 hafta önce

Palo Alto Traffic Log: incomplete ve insufficient-data Ne Anlama Gelir?

2 hafta önce

Palo Alto Security Policy “Allow” Ama Trafik Neden Geçmiyor?

3 hafta önce

Stateful firewall’larda forward ve return trafik farklı yollar kullanıyorsa bağlantı problemleri oluşabilir.

Örneğin:

Client → Firewall A → Server
Server → Firewall B → Client

Firewall A SYN paketini görerek session oluşturur. Ancak SYN/ACK Firewall B’ye ulaşırsa Firewall B aynı session state’ine sahip olmayabilir.

Sonuç:

Session bulunamaz → Paket drop olabilir → TCP bağlantısı kurulamayabilir

Bu durum Asymmetric Routing olarak adlandırılır.

1. Session’ı Kontrol Edin

İlk olarak session’ın hangi interface ve path üzerinden ilerlediğini doğrulayın:

show session all filter source <SOURCE-IP> destination <DESTINATION-IP>

PAN-OS session filtresi ingress/egress interface, PBF rule, NAT rule ve application gibi alanlara göre de filtreleme destekler.

2. Routing Table

Forward ve return path’i etkileyebilecek:

Static Route → BGP → OSPF → ECMP → PBF

yapılarını kontrol edin.

Forward route doğru görünse bile karşı taraftaki dönüş route’u farklı firewall veya ISP’ye gidiyor olabilir.

3. NAT

Özellikle SNAT kullanılıyorsa dönüş trafiğinin session’ın bulunduğu firewall’a dönmesi kritiktir.

Örneğin:

Client
↓
Firewall A
↓ SNAT
203.0.113.10
↓
Server

server cevabının NAT state’ini bilen doğru firewall’a ulaşması gerekir.

4. PBF ve Symmetric Return

Dual ISP veya asymmetric routing tasarımlarında Palo Alto PBF Symmetric Return özelliğini kullanabilir.

Bu özellik dönüş trafiğinde normal route lookup’ı override ederek trafiği, ilk paketin geldiği yolun next-hop MAC adresine yönlendirebilir.

Ancak önemli nokta:

Symmetric Return, iki bağımsız firewall arasındaki session state problemini otomatik çözmez.

Bu özellik esas olarak aynı firewall üzerindeki PBF/asymmetric path davranışını kontrol etmek için kullanılır.

5. Packet Capture

Asymmetric routing şüphesinde en net yöntemlerden biri packet capture’dır.

PAN-OS dataplane üzerinde dört capture stage bulunur:

Receive → Paket firewall’a ulaştı mı?
Firewall → Session/policy processing’e girdi mi?
Drop → Firewall paketi düşürdü mü?
Transmit → Paket firewall’dan çıktı mı?

Burada Drop ve Transmit birbirini takip eden zorunlu aşamalar değildir.

Örneğin:

Receive + Firewall + Transmit → Paket forward edilmiş

Receive + Firewall + Drop → Firewall üzerinde drop edilmiş

şeklinde yorumlanabilir.

Packet capture production ortamında CPU tüketebileceği için filtreli ve kısa süreli kullanılmalıdır.

Troubleshooting Sırası

Session → Route → NAT → PBF/ECMP → Return Path → Packet Capture

Kritik nokta:

🔥 Forward path’in doğru olması tek başına yeterli değildir.

Stateful firewall açısından asıl soru:

“SYN ve SYN/ACK aynı session state’inin takip edilebildiği yol üzerinden geçiyor mu?”

olmalıdır.