255.255.255.255 /0.0.0.0.0

That's the IP broadcast address; the significance depends on the rest of the packet.  Please show a representative line from the full (not the live) Packet Filter log.

Cheers - Bob

That's the IP broadcast address; the significance depends on the rest of the packet.  Please show a representative line from the full (not the live) Packet Filter log.

Cheers - Bob

Hi.
Funny stuff, today there's NO traffic within these IP.
But here is a line from the packet filter log from yesteday.

2010:09:18-14:42:00 Astaro ulogd[4491]: id="2001" severity="info" sys="SecureNet" sub="packetfilter" name="Packet dropped" action="drop" fwrule="60001" initf="eth1" srcmac="0:e:8:12:15:7e" dstmac="0:25:90:6:c6:b7" srcip="0.0.0.0" dstip="255.255.255.255" proto="17" length="328" tos="0x00" prec="0x00" ttl="250" srcport="68" dstport="67"

Hi daniell,

port 67 and 68 are the ports for DHCP. (srcport, dstport)

I think the client with ip 0.0.0.0 (it has no ip at the beginning) wants to have an ip and sends a broadcast on 255.255.255.255 to get an address.

Unfortunatelly the asg drops your broadcast packets and the client won't get an adress. [:)]

So, don't worry, there's nothing wrong in your network.

Peter

Thank's a lot..
So no worries right !! Good to know..

I know Astaro blocks spoofs but its always good/best practice to block private class ips from the WAN to LAN.

I'm sure Astaro could stop it anyway. But if you want to babysit then.

Create a Packet Filter in first place with drop

if WAN > LAN 

NOT LAN > WAN

DENY THESE
10.0.0.0/8
172.16.0.0/12
192.168.0.0/16
127.0.0.0/8
224.0.0.0/3
169.254.0.0/16

Basically if they come from the outside as those drop em like its hot.

Ding dong.. Its me your wife...in a deep voice....please let me in.. trust me. 

Mike

i'm seeing the same traffic only on a different port.

name="Packet dropped" action="drop" fwrule="60001" initf="eth0" srcmac="0:c:41:90:b0:b0" dstmac="0:1a:8c:15:42:a0" srcip="0.0.0.0" dstip="255.255.255.255" proto="17" length="229" tos="0x00" prec="0x00" ttl="30" srcport="138" dstport="138" 
2011:09:29-00:33:09 MYAstaro ulogd[5039]:

it appears as if it's trying to hit the broadcast address on my internal LAN port on the Astaro. but no idea where the source MAC is from.

Source ip = 0.0.0.0 ??

1) Most likely:

You most likely have something plugged in your lan.

either a magicjack or something you forgot about. Connected to your ISP Plastic router first or Astaro second.

Better double check what you have LIVE and DEAD on your lan. Its trying get get an IP but its being DROPPED. Right now it can't communicate thus 0.0.0.0 ip.

2) Check you Packet log files live when this happens. 
Most likely its on your INTERNAL LAN.

Astaro will block spoofs with Private IP classes like 192.168.1.1 > from your outside so not likely w/ 0.0.0.0 

Mike

@Benderle: 

Do you have Cisco-Linksys equipment in use?

MAC Address 00:0C:41 vendor

Kind regards,

Pretender

I have a couple workgroup class switches.. but nothing else.