Das halte ich eher für unwahrscheinlich, daß der Traffic nur von älteren Servern stammte. Außerdem scheint die Firewall das ja nicht filtern zu können. Ich denke, da wurde auf Netzwerkebene geschraubt. 
Zugegebenermaßen fand' ich es vorher aber spannender... 
Gelegentlich kommt noch was über IPv6 rein im Bereich FF02:0:0:0:0:1:FF00::/104 (Solicited-Node Address), z. B. ff02::1:ff00:1.
Ja, sieht jetzt gut aus.
!arp && !icmpv6 && !(eth.dst == <VPS-MAC>) && !(eth.src == <VPS-MAC>)liefert nur ganz wenige Pakete für andere Rechner.
Heute morgen zum Beispiel:
07:25:22,405413 122842 83.34.68.34.bc.googleusercontent.com vserverXXXXX.pr0ject.at RIPng 66 Command Request, Version 1
07:25:25,402929 122843 83.34.68.34.bc.googleusercontent.com vserverXXXXX.pr0ject.at RIPng 66 Command Request, Version 1
07:25:28,407677 122863 83.34.68.34.bc.googleusercontent.com vserverXXXXX.pr0ject.at RIPng 66 Command Request, Version 1
Vielleicht Momente in denen etwas umgestellt wird?
Gelegentlich kommt noch was über IPv6 rein im Bereich FF02:0:0:0:0:1:FF00::/104 (Solicited-Node Address), z. B. ff02::1:ff00:1.
Das ist aber ganz regulärer Nachbarschafts-Talk würde ich meinen oder siehst Du da was Ungewöhnliches?
liefert nur ganz wenige Pakete für andere Rechner.
Das ist mir gestern auch schon aufgefallen und ich sehe es jetzt auch immer noch. Auch für eine Zieladresse, die gestern bereits dabei war. Interessanterweise auch an Port 521 gerichtet. (RIPng-Traffic kann es aber nicht sein, da das nur bei IPv6 eingesetzt wird wie ich gelesen habe und ich es bei IPv4 bekomme. Da übersetzt tcpdump vermutlich stumpf die Portnummer ohne den Traffic genauer zu inspezieren.) Die andere Zieladresse mit anderem UDP-Port ist bisher nicht wieder aufgetaucht.
Vermutlich ist der Server offline und seine MAC-Adresse daher nicht mehr der MAC-Adress-Tabelle des Switch, so daß dieser das daher an alle Hosts schickt?
ad #44: Nein, ich denke auch, dass das nichts Ungewöhnliches ist. Es handelt sich dabei ja wohl um das IPv6-Pendant zu den ARP-Broadcasts von IPv4.
