Asimetría de rutas y sesiones que no cierran

Se llama ruteo asimétrico al caso en que los paquetes de ida y de vuelta de una conversación siguen caminos distintos. Con dos cortafuegos de borde es fácil que ocurra: el proveedor entrega el tráfico de entrada por un enlace y la tabla de rutas interna devuelve la respuesta por el otro. Cada equipo ve solo la mitad: uno el SYN y otro el SYN-ACK. El que ve la respuesta no encuentra una entrada y la descarta; el que vio la ida queda con una entrada que espera una respuesta que nunca llega.

La señal de asimetría es doble: descartes por «no se vio el SYN» en un equipo y entradas en espera en el otro. Las entradas en estado SYN_ENVIADO que no avanzan se acumulan hasta que vence su temporizador, y ocupan espacio de la tabla (sala 1) mientras duran.

Abre la consola y consulta sesiones_abiertas.

La tabla rutas_flujo dice por qué equipo salió y por cuál volvió cada flujo. Un flujo es asimétrico cuando los dos son distintos. Contarlos mide el alcance del problema y permite decir qué fracción del tráfico de entrada está afectada.

Una entrada que no cierra tiene una edad en segundos. Entre las que siguen en SYN_ENVIADO, la más vieja es la que está más cerca de vencer por el temporizador del saludo (30 segundos en este equipo) y la que lleva más tiempo ocupando espacio. Consulta sesiones_abiertas y compara edades.

La corrección buena es devolver la simetría: que la ida y la vuelta pasen por el mismo equipo (ajustando el enrutamiento o la política de salida) o que los equipos compartan sus entradas de sesión, que es un tema de alta disponibilidad que verás más adelante. Lo que no se debe hacer es desactivar la comprobación de estado en el borde para que «todo pase»: elimina la protección que justifica tener un cortafuegos con estado y deja pasar paquetes sin conversación asociada.