я вечером установлю - посмотрю че нового

впринципе уязвимости закрыли - надо обновляться

Reverse Path Forwarding check да, в случае strict mode будет приводить к проблемам.

Но CT, каким образом пакеты попадают в INVALID, в рамках CT? При asymmetric routing?

Я не вижу в коде ядра для этого определённых механизмов, возможно я не туда смотрю конечно.

дежавю

"нюансы" кроются не столько в коде ядра, сколько в tcp-протоколе

Так, рассказывайте

можно я не буду пересказывать своими словами, а скопипастчу, ибо лень писать стенку текста? :)

Конечно 🙃

Look at the diagram: The router R1 is originating a TCP connection to R4. R1 has two available paths to R4. The upper path routes the traffic over R2, the lower path over R3. In this example, the TCP SYN flagged packet is routed over R2.

R4 also has two available paths to reach R1. R4 receives the TCP SYN flagged packet and answers with an TCP SYN ACK flagged packet. This time, the traffic is routed over R3.

Imagine there are stateful firewalls configured on R2 and R3. In this case, as the TCP SYN flagged packet from R1 gets routed via R2, R2 sees this as new connection because of the SYN flag. Assuming there are accept rules for "new", "established" and "related" connections from R1, an entry in R2 firewall's state table will be created. R2 passes the TCP SYN flagged packet to R4 and R4 replies with TCP SYN ACK packet in reply. But this time, the traffic is routed over R3. Again, assuming that there are accept rules for "new", "established" and "related" connections from R4, the firewall will block the TCP

глубоко не вчитывался, но, вроде, описано корректно)

Так, в данном кейсе да, statefull firewall будет блокировать пакеты, без спорно

И этому причиной будет проверка TCP модуля в ядре, в CT подсистеме

Но, только на промежуточных узлах, при условии, что они выполняют для транзитного трафика фильтрацию.

так, в описанном случае, (как я его понял) речь идёт как раз о промежуточных узлах  (т.е. рутеры с оспф и есмп), через которые ходит траффик "клиентов" за этими рутерами

Если кто-то фильтрует на транзите, при условии ECMP, то да, ваше утверждение будет верно. 🙃

Возможно вы правы, в описание у автора, нет указания на то, что он фильтрует на транзите что-то.

На hex и hex s у меня таки пофиксилось на 6.48.3

Спасибо тебе, добрый человек. Кажется, полечилось отключением дропа инвалидов на форварде