EVE-NG で ping が通るのに HTTP が通らない

Question

実現したいこと

EVE-NG (6.2.0-4-Community) で適当にネットワークを作成しました。(全て 24bit マスク)
WebServer : 10.10.0.10 (FreeBSD)
Net5 : 172.31.5.10 (FreeBSD)
Net0 : 172.31.0.10 (Debian)
RT-01 : e1/172.31.0.2, e2/172.31.5.1 (VyOS)
RT-02 : e3/172.31.5.2, e4/172.31.10.1, e5/10.10.0.1 (VyOS)

WebServer, Net5, Net0 から w3m で 阿部 寛のホームページは閲覧可能です。

最終目標としては緑色の経路で HTTP 通信を行いたいのですが、その前に
紫色の経路を試し WebServer への http アクセスに成功しました
次に、赤色の経路を試したところ ping には応答がありますが http が通りません
HTTP通信をキャプチャすると Net0 の e0 では
Net0 → Web syn
Net0 ← Web syn, ack
Net0 → Web ack
Net0 → Web GET
Net0 → Web GET (再送)
Net0 → Web GET (再送が続く)...
となり、RT-01 の eth1 でキャプチャすると
Net0 → Web syn
Net0 ← Web syn, ack
のあとのパケットがありません。

何が HTTP 通信を止めていると考えられるでしょうか？
men usage 20%, cpu usage 1桁 なので、EVE-NG のリソースは問題ないと思っています。

発生している問題・分からないこと

HTTP 通信ができません。

エラーメッセージ

root@debian:~[50]# curl -m 60 http://10.10.0.10/
curl: (28) Operation timed out after 60000 milliseconds with 0 bytes received

該当のソースコード

vyos@RT-01:~$ show configuration commands
set interfaces ethernet eth0 address '192.168.0.64/24'
set interfaces ethernet eth0 description 'MGT'
set interfaces ethernet eth0 vrf 'MGT'
set interfaces ethernet eth1 address '172.31.0.2/24'
set interfaces ethernet eth2 address '172.31.5.1/24'
set protocols static route 0.0.0.0/0 next-hop 172.31.0.1
set protocols static route 10.10.0.0/24 next-hop 172.31.5.2
set protocols static route 172.16.0.0/12 next-hop 172.31.5.2
set service https
set service lldp interface all
set service lldp legacy-protocols cdp
set service ssh vrf 'MGT'
set system config-management commit-revisions '100'
set system console device ttyS0 speed '115200'
set system domain-name 'my.home'
set system host-name 'RT-01'
set system ipv6 disable-forwarding
set system name-server '1.0.0.1'
set system name-server '8.8.8.8'
set system syslog local facility all level 'info'
set system syslog local facility local7 level 'debug'
set system time-zone 'Asia/Tokyo'
set vrf name MGT protocols static route 0.0.0.0/0 next-hop 192.168.0.254
set vrf name MGT table '100'
vyos@RT-01:~$

vyos@RT-02:~$ show conf comm
set interfaces ethernet eth0 address '192.168.0.65/24'
set interfaces ethernet eth0 description 'MGT'
set interfaces ethernet eth0 vrf 'MGT'
set interfaces ethernet eth3 address '172.31.5.2/24'
set interfaces ethernet eth4 address '172.31.10.1/24'
set interfaces ethernet eth5 address '10.10.0.1/24'
set protocols static route 0.0.0.0/0 next-hop 172.31.5.1
set service https
set service ssh vrf 'MGT'
set system config-management commit-revisions '100'
set system console device ttyS0 speed '115200'
set system domain-name 'my.home'
set system host-name 'RT-02'
set system ipv6 disable-forwarding
set system name-server '1.0.0.1'
set system name-server '8.8.8.8'
set system syslog local facility all level 'info'
set system syslog local facility local7 level 'debug'
set system time-zone 'Asia/Tokyo'
set vrf name MGT protocols static route 0.0.0.0/0 next-hop 192.168.0.254
set vrf name MGT table '100'
vyos@RT-02:~$

試したこと・調べたこと

• teratailやGoogle等で検索した
• ソースコードを自分なりに変更した
• 知人に聞いた
• その他

上記の詳細・結果

RT-01,02 の https を有効にし
Net0 から https://172.31.0.2/ (RT-01) は可能
Net0 から https://172.31.5.1/ (RT-01) は timeout (なんで？)
Net0 から https://172.31.5.2/ (RT-02) は timeout (これも変)
Net0 から https://10.10.0.10/ (RT-02) は timeout (これも変)
Net0 から https://10.10.0.10/ (WebServer) は Connection Refused (https は開いていないので当然)
Net0 から http://10.10.0.10/ (WebServer) は timeout (問題点)

Net0 からの実行例
% curl -m 60 http://10.10.0.10/
curl: (28) Operation timed out after 60000 milliseconds with 0 bytes received
% curl -m 60 https://10.10.0.10/
curl: (7) Failed to connect to 10.10.0.10 port 443 after 2 ms: Couldn't connect to server

切り分けのためルータ 2台と両端にサーバーの簡易化したネットワークを作ってみました

これで通信試験をしましたが、ping, http 通信ともに正常でした。

補足

特になし

Answer 1

解決しました
PaloAlto にフィルターされていました。
Net0 のデフォルトルートが PaloAlto に向いていて、非対称ルーティングを許可していませんでした。(デフォルト)

Net0 → PA → RT-01 → RT-02 → WebServer syn
Net0 ← -- ← RT-01 ← RT-02 ← WebServer syn, ack (戻りパケットが PA を経由しません)
Net0 → PA ack (PA は syn, ack を知らないので、異常な通信としてフィルタ)
Net0 → PA Web GET (同上)

PA のゾーンプロテクションで、非対称ルーティングを許可することで通信が通るようになりました。
https://knowledgebase.paloaltonetworks.com/KCSArticleDetail?id=kA10g000000ClSHCA0&lang=en_US

ポリシーは full open だったので PaloAlto は止めていないと思い込んでいました...