Asimetrik Yönlendirme Durum Tutan Güvenlik Duvarını Neden Bozar?

Ağ ekibi haklıdır: yönlendirme çalışıyor. Paketler hedefe ulaşıyor, cevaplar kaynağa dönüyor, hiçbir rota eksik değil.

Güvenlik ekibi de haklıdır. Bağlantılar kurulmuyor.

İkisi aynı anda doğrudur ve sebebi arada duran cihazın nasıl çalıştığıdır.

Durum Tutmak Ne Demek

Durum tutan bir güvenlik duvarı her bağlantı için bir kayıt açar. Kaydı açan şey ilk pakettir; genellikle bir TCP SYN.

Sonraki paketler tek tek kurallardan geçmez. Cihaz onları mevcut kayıtla eşleştirir ve eşleşen paketi geçirir. Bu, hem performansı hem güvenliği sağlayan mekanizmadır.

Mekanizmanın sessiz bir ön koşulu vardır ve hiçbir yapılandırma ekranında yazmaz: cihaz, bağlantının iki yönünü de görmek zorundadır. Biri eksikse eşleştirme çalışmaz.

Yalnız Bir Yön Görülünce

İki senaryo vardır ve ikisi de arıza üretir.

Cihaz yalnız dönüş yönünü görüyorsa, elinde kayıt yoktur. Gördüğü şey, hiçbir isteğe karşılık gelmeyen bir SYN-ACK’tir. Kural gereği bu düşürülür; meşru bir cevap olması durumu değiştirmez.

Cihaz yalnız gidiş yönünü görüyorsa, kaydı açar ama cevabı hiç görmez. Kayıt zaman aşımına kadar tabloda durur ve bağlantı yarım kalır.

Belirtiler Neden Kafa Karıştırır

Arıza tam bir kesinti gibi görünmez.

Ping cevap verir ama TCP oturumu kurulmaz. Sebebi, ICMP için durum takibinin daha gevşek olması ve pek çok cihazın yankı cevabını kayıtsız geçirmesidir. Bu tek gözlem, sorunu “ağ çalışıyor” diye etiketletir.

Bazı bağlantılar çalışır, bazıları çalışmaz. UDP tabanlı olanlar sürer, TCP olanlar kopar. Tek yönlü aktarımlar tamamlanır, çift yönlü olanlar takılır.

Sorun günün belirli saatlerinde ortaya çıkar; yönlendirme tercihi yük altında değişmiştir.

Cihaz logunda ise aranması gereken tek bir ifade vardır: mevcut oturuma ait olmayan paket.

Nereden Çıkar

• Çoklu internet çıkışı. Gidiş bir sağlayıcıdan, dönüş diğerinden geçer. En yaygın kökendir.
• Eş maliyetli yollar. Aynı hedefe birden fazla eşit yol bulunduğunda akışlar dağıtılır ve bir yol değiştiğinde dağılım da değişir.
• Yüksek erişilebilirlik çifti. Trafiğin bir yönü bir cihazdan, diğer yönü eşinden geçer. Oturum bilgisi eşitlenmiyorsa sonuç aynıdır.
• Yanlış konumlandırma. Cihaz, trafiğin yalnız bir yönünün geçtiği bir noktaya konmuştur.
• Politika tabanlı yönlendirme. Gidiş trafiği normal rotanın dışına çıkarılmış, dönüş için aynı şey yapılmamıştır.

Çözüm

Doğru yön simetriyi kurmaktır. Kaynak tabanlı yönlendirme, gelen trafiğin hangi hattan girdiyse oradan çıkmasını sağlar. Tek çıkışın kullanılması ya da güvenlik duvarının yolların birleştiği noktaya alınması da aynı sonucu verir.

Cihazlarda asimetriye tolerans gösteren ayarlar bulunur ve bağlantıyı çalışır hale getirir. Karşılığında durum denetiminin bir kısmından feragat edilir: cihaz artık el sıkışmayı takip etmeden paket geçirir.

Bu ayar bir teşhis aracı olarak kullanılabilir. Açıldığında sorun kayboluyorsa kökeni bulunmuştur. Kalıcı çözüm olarak bırakılması, satın alınan denetimin bir kısmının kapatılması anlamına gelir.