Wenn der Kunde mehrere IP-Adressen am WAN-Anschluss hat und eventuell noch welche, die für NAT gebraucht werden:

Beim Ping Check nimmt die UTM die erste IP, welche für die Schnittstelle konfiguriert ist. Die virtuelle IP-Adresse hat allerdings in dem Beispiel keine Route über das Gateway ins Internet.
Somit schlägt der Ping Check direkt fehl und der Fallback wird ausgelöst.

Abhilfe mit einer NAT Regel ist möglich, bis zu dem Zeitpunkt wo der Fallback ausgelöst worden ist, da dann die Paketfilter Regel aufgrund der fehlenden Zone übersprungen wird, wodurch die IP nicht mehr genattet wird.
Dadurch erkennt die UTM nicht, dass Internet wieder da ist und schwenkt nicht wieder zurück.