[MASOCH-L] Problemas com firewall OpenBSD

[Eduardo Schoedler]

Senhores.

Essa noite aconteceu um problema muito estranho no meu firewall.
Na verdade já vem acontecendo esporadicamente, em horários alternados.

Ele possui 3 placas de rede, sendo 2 WAN (vindo de routers Cisco) e 1 de 
LAN.
As 2 WANs estão conectadas via cabo xover nos ciscos.
A LAN está no switch Avaya.

Do nada, começou a gerar pacotes de forma absurda!
Ele lotou a interface Fastethernet de um dos Cisco, fazendo com que ele 
parasse de responder!
Nem via console ele funcionava direito, ficava trancando.
Ao desconectar o cabo xover, ele voltava a responder.
Vejam algumas saídas do cisco:

router#show processes
CPU utilization for five seconds: 85%/85%; one minute: 89%; five minutes: 
75%
...

router#show int fa 0/0
FastEthernet0/0 is up, line protocol is up
  Hardware is AmdFE, address is 0009.e8e8.c3f0 (bia 0009.e8e8.c3f0)
  Internet address is 200.143.116.249/29
  MTU 1500 bytes, BW 16384 Kbit, DLY 100 usec,
     reliability 237/255, txload 10/255, rxload 80/255
  Encapsulation ARPA, loopback set
  Keepalive set (10 sec)
  Full-duplex, 100Mb/s, 100BaseTX/FX
  ARP type: ARPA, ARP Timeout 04:00:00
  Last input 00:00:00, output 00:00:00, output hang never
  Last clearing of "show interface" counters never
  Input queue: 2/75/571807/0 (size/max/drops/flushes); Total output drops: 0
  Queueing strategy: fifo
  Output queue: 0/40 (size/max)
  5 minute input rate 5158000 bits/sec, 10309 packets/sec
  5 minute output rate 653000 bits/sec, 201 packets/sec
     31714781 packets input, 1967432932 bytes
     Received 3 broadcasts, 0 runts, 0 giants, 0 throttles
     9858263 input errors, 2 CRC, 2 frame, 9858261 overrun, 0 ignored
     0 watchdog
     0 input packets with dribble condition detected
     681399 packets output, 247171017 bytes, 0 underruns
     0 output errors, 0 collisions, 3 interface resets


Notaram o "input errors" e "output errors" ???
O "overrun" está alto também.


No switch, o led da porta dele estava aceso direto.

O mais estranho é que no tcpdump (sem filtro) não apareceu nada, mas 
apareceu que vários pacotes foram dropados pelo kernel.

Muito estranho... primeira coisa que fiz foi desativar o PF, o que não fez 
diferença.
Troquei alguns NICs, também não resolveu.

Mas de uma hora para outra, parou!
O Cisco está funcionando normalmente, mas ele ainda continua com alto 
tráfego para minha LAN.
O mais estranho é que esses pacotes não vão para nenhum servidor, ele estava 
sozinho no switch e o led de tráfego estava a milhão.

Alguém teria alguma luz para me dar ?


Abraços!