Keepalived NAT с firewalld: STATE_INVALID_DROP блокирует ответные пакеты от реальных серверов

Я настроил Keepalived как балансировщик нагрузки, но не использую конфигурацию Master/Standby — только один сервер.

Проблема возникает, когда включен firewalld. Без firewalld всё работает нормально. Однако, когда firewalld запущен, пакеты, возвращающиеся с реального сервера, блокируются правилом STATE_INVALID_DROP.

Настройка включает два интерфейса: enp2s0 (зона клиентов) и enp3s0 (зона серверов). Трафик, flowing с enp2s0 на enp3s0, работает корректно, но проблема возникает с возвратным трафиком с enp3s0 на enp2s0.

Интересно, что если я использую только firewalld с настроенным маршрутом для достижения реального сервера и убираю Keepalived, трафик проходит без проблем. Проблема появляется только тогда, когда оба firewalld и Keepalived используются вместе.

Вот моя конфигурация зон:

router1@router1:~$ sudo firewall-cmd --zone clients --list-all
clients (active)
  target: DROP
  ingress-priority: 0
  egress-priority: 0
  icmp-block-inversion: no
  interfaces: enp2s0
  sources:
  services: http
  ports:
  protocols:
  forward: no
  masquerade: no
  forward-ports:
  source-ports:
  icmp-blocks:
  rich rules:
router1@router1:~$ sudo firewall-cmd --zone servers --list-all
servers (active)
  target: DROP
  ingress-priority: 0
  egress-priority: 0
  icmp-block-inversion: no
  interfaces: enp3s0
  sources:
  services: http
  ports:
  protocols:
  forward: no
  masquerade: no
  forward-ports:
  source-ports:
  icmp-blocks:
  rich rules:

А вот моя конфигурация политик:

router1@router1:~$ sudo firewall-cmd --policy fromCliToSrv --list-all
fromCliToSrv (active)
  priority: -1
  target: DROP
  ingress-zones: clients
  egress-zones: servers
  services: http
  ports:
  protocols:
  masquerade: no
  forward-ports:
  source-ports:
  icmp-blocks:
  rich rules:
router1@router1:~$ sudo firewall-cmd --policy fromSrvToCli --list-all
fromSrvToCli (active)
  priority: -1
  target: DROP
  ingress-zones: servers
  egress-zones: clients
  services: http
  ports:
  protocols:
  masquerade: no
  forward-ports:
  source-ports:
  icmp-blocks:
  rich rules:

А вот моя конфигурация keepalived:

router1@router1:~$ sudo cat /etc/keepalived/keepalived.conf
! Файл конфигурации для keepalived

virtual_server 172.20.241.20 80 {
        lb_algo wrr
        lb_kind NAT
        protocol TCP
        persistence_timeout 600
        persistence_granularity 255.255.255.0

        real_server 10.0.1.5 {
                weight 1
        }
        real_server 10.0.1.6 {
                weight 2
        }
        real_server 10.0.1.7 {
                weight 3
        }
}

Я попробовал добавить форвардинг портов в зону клиентов вот так:

router1@router1:~$ sudo firewall-cmd --permanent --zone clients --add-forward-port=port=80:proto=tcp:toaddr=10.0.1.5:toport=80
success
router1@router1:~$ sudo firewall-cmd --permanent --zone clients --add-forward-port=port=80:proto=tcp:toaddr=10.0.1.6:toport=80
success
router1@router1:~$ sudo firewall-cmd --permanent --zone clients --add-forward-port=port=80:proto=tcp:toaddr=10.0.1.7:toport=80
success
router1@router1:~$ sudo firewall-cmd --reload
success

Но эта конфигурация перенаправляет все запросы на 10.0.1.5, потому что это первое правило, которое было добавлено.