В точку!

Проверьте настройки фаервольных правила и  NAT, мне помогали следующие явные, "глупые" правила, которые надо создать вверху политики.
Firewall rules:
SMS - Cluster - any - accept
Cluster - SMS - any - accept

Понимаю, что у вас есть разрешающие правила, тем не менее.
И по NAT, если он в данном контексте используется, то проверить, что SMS статистический нат имеет для выхода к кластеру

Ок, спасибо попробую

Проблему решил сбросом SIC, и повторной установкой политик. Сейчас всё работает. Почему связь пропала частично нашёл командой fw ctl zdebug drop | grep ip Mgmt. У меня почему то политики слетели на standby ноде и блочили трафик от смски.

Коллеги, здравствуйте. Никто не сталкивался с такими ошибками в дропах. Подскажите в какую сторону  копать?
@;147113;[cpu_3];[fw4_0];[192.168.0.1:43221 -> 8.8.8.8:53] [ERROR]: rad_kernel_add_pending_request: fwtab_set_wto failed to set in cache;
@;147113;[cpu_3];[fw4_0];[192.168.0.1:43221 -> 8.8.8.8:53] [ERROR]: rad_kernel_api_async_get_resource_ex: rad_kernel_request_pending_add failed;
@;147113;[cpu_3];[fw4_0];[192.168.0.1:43221 -> 8.8.8.8:53] [ERROR]: malware_res_rep_rad_query: rad_kernel_api_async_get_resource() failed with error: Pending request error;

модуль rad скорее всего сломался (определение приложений), на моей памяти такое улетело в тех. поддержку чека и решалось какое то продолжительное время. Симптом был еще такой, что если отключали https инспекцию то все работало

Выключили https инспекцию. Есть подозрение на application control и url filtering

Это и есть часть Application control (rad)

что интересно, с одним провайдером работает, с другим нет. хотя второй провайдер рабочий, на другом устройстве через него трафик проходит.

Это точно не в провайдере дело должно быть по моему мнению, внутренний баг чека

открываю тогда кейс, посмотрим что вендор скажет. Спасибо за помощь.

rad_kernel_add_pending_request: fwtab_set_wto failed to set in cache; Может кэш забит, но тут без тп никак, потому что в параметры Gaia я бы не лез без них )))

Вообще, сама ошибка в конце,  rad не может достучаться до облака ЧП для классификации

Подскажите где смотреть. Может подскажите  пути решения проблемы.

В тикете и в дебаге rad :)

Единственное, что вам стоит проверить самому - это доступ к чкп апдейт сервисам (скшка есть на эту тему)

Дебажить rad без саппорта так себе идея

а чего показывает  watch " fw tab -t urlf_cache_tbl -s; fw ctl multik print_bl malware_cache_tbl -s"
?

Уже наверное в понедельник.