Da scheint ggf. noch irgendeine externe Verbindung eben mit der IP 192.168.120.254 reinzukommen.
Da sollte man mal per NETSTAT öfter die aktiven Verbindungen prüfen und per TRACEROUTE den Leitweg zurückverfolgen, wenn die Verbindung aktiv ist.

Man kann auch ein kleines CLP schreiben, dass per PING die IP prüft und bei Erfolg sofort einen TRACEROUTE absetzt und eine Meldung an QSYSOPR abgibt.