VRRP が切り替わると、既存の通信中の TCP セッションが切断されてしまいます。回避方法はありますか？
ファイアウォール, FAQカテゴリ, 仕様
2023年3月30日 (2023年3月30日:更新）
vSRX において、VRRP が切り替わると既存の通信中の TCP セッションはすべて一度切断されます。
これは、vSRX がセッションを生成する際にSYNヘッダがないTCPパケットをドロップしてしまうためであり、仕様です。
回避するには、vSRX に以下の設定を実施することで、 SYNヘッダ以外のTCPパケットが到達してもセッションを生成・疎通させることができます。
set security flow tcp-session no-syn-check
ただし、SYN以外のパケットが到達した際にセッションを作ってしまうので、正常ではないパケットを疎通させてしまう可能性が高まるというリスクがあります。
インターネット上の不特定多数のユーザーからのアクセスを受ける構成でvSRXを利用されている場合など、セキュリティリスクについてはお客様にてご判断頂きますようお願いします。