IP Spoofing and 7-octet MAC

This looks like the system is doing a DNS (DPT=53)Broadcast. That would explain the seven octet entry.

The last octet is for broadcast to the network

Still can't make things work. Live Packet Log reports MAC addresses split on a faulty boundary, which makes me think something i radically wrong here, either in my setup or in the software.
Using /28-net on outside I/F, DMZ I/F is on a /29-net subnet (lower half of the /28-net), Proxy ARP is enabled. Can't see any PUB entries in the ARP-tables, though. Machines in the DMZ net are connected through a small 8-port switch.
This setup works fine in an old ipchains config.

If the DMZ is on a /29 within the net range of the Ext IF /28 they are on the same network, which may be causing routing loops. Try puting the DMZ on a private network and using DNAT.

Tnx, I'll try reorganizing my network. Unfortunately, I'll have to do a live firewall swap, which makes assigning DNAT a bit awkward. Virtual servers to reconfigure etc.

Tnx, I'll try reorganizing my network. Unfortunately, I'll have to do a live firewall swap, which makes assigning DNAT a bit awkward. Virtual servers to reconfigure etc.

That is a pain, but that is why we are in IT so we can work nights, weekends, holidays, not get comensated for OT (Own Time), be unnapreciated and still love it.