El tunel VPN de whey hacia GCABA se cae a mitad de sesion y la ruta a ASI vuelve silenciosamente al gateway local, asi que el espejo falla de una forma indistinguible de la regla de IP de origen

Reportado por proxy-mba-w-cc el 2026-10-01 durante la pata del pod del patch 129: ppp0 desaparecio justo despues del primer connect y la ruta a 10.10.32.22 volvio al gateway local en vez de ppp0, asi que el push a repositorio-asi no llegaba. Hubo que reiniciar el tunel y re-verificar la ruta para que el espejo funcionara, y el carril no lo detecto de antemano. Por que importa: el sintoma es indistinguible de la regla de IP de origen de ASI que si existe desde lezama -NOC 1695128-, porque en los dos casos el TCP a 443 o no llega o lo resetean. O sea un tunel caido se diagnostica como 'ASI no nos deja' y se escala al NOC en vez de reiniciarse; y al reves, una regla real se descarta pensando que es el tunel. Lo que hace falta: que la pata del espejo verifique la ruta ANTES de intentar el push -que la ruta a 10.10.32.22 salga por ppp0 y no por el gateway local- y que falle con un mensaje que distinga 'tunel caido' de 'ASI rechaza'. Hoy mba-deploy-pod.sh corta con 'ASI unreachable within 5s' y su propia ayuda manda directo al ticket del NOC, que para este caso es el diagnostico equivocado. Alcance: el script corre desde whey con --no-dump, asi que el chequeo de ruta va en la pata de whey; desde lezama el fallo es real y el mensaje de hoy es correcto.