Bouregreg Mutuelle : le site, les VPN partenaires et la téléphonie tombent « une fois sur deux » depuis cette nuit

Bouregreg Mutuelle (complémentaire santé, 140 000 adhérents) héberge tout dans la salle serveurs de son siège à Rabat. La sortie Internet est doublée :

• FAI-A (fibre 1 Gb/s, bloc public 198.51.100.0/29) derrière le pare-feu fw-a : c'est par lui que sont publiés le portail adhérents www.bouregreg-mutuelle.ma (DNAT vers la DMZ), le trunk SIP de l'IPBX et les tunnels IPsec des partenaires (cliniques conventionnées, tiers payant) ;
• FAI-B (fibre 500 Mb/s, bloc 203.0.113.0/29) derrière le pare-feu fw-b : il sert à la navigation des 260 postes (SNAT).

Les deux pare-feu (Debian 12, nftables) annoncent chacun une route par défaut en eBGP au routeur de cœur cr-coeur (FRR), qui route la DMZ 10.20.30.0/24 et les serveurs 10.20.40.0/24.

Hier soir à 22:40, le changement CHG-2291 « exploiter les deux liens en actif/actif » a été appliqué sur le routeur de cœur. Depuis ce matin : le portail adhérents « charge une fois sur deux », la clinique partenaire de Salé n'arrive plus à envoyer ses prises en charge (« délai dépassé » au hasard), et le centre d'appels signale des appels sans son dans un sens. La DSI veut une solution avant l'ouverture des agences à 09:30.

Vous êtes sur le poste d'astreinte ; vous avez un accès SSH à cr-coeur, fw-a, fw-b et srv-web-01. Dans ~/INC-3516/ : la sonde externe, le schéma réseau et le journal des changements.