Здравствуйте!
Вообще говоря, основная задача - наладить учет траффика.

Исходные данные - PC-Linux маршрутизатор, он же почтовик, он же DNS, он же прокси, он же файл-сервер. eth0 смотрит в инет, eth1 - в LAN. Офисная сеть 192.168.0.0/24. NAT осуществляется при помощи iptables, при помощи него же проброс некоторых портов к сервисам в сети и закрывание ненужного как изнутри, так и снаружи.

Решил попробовать Netams. Сбор сетевой статистики он  осуществляет при помощи libpcap, вводя наружный инерфейс в беспорядочный режим. После двух дней работы обратил внимание на кучу обращений извне к ssh, mysql и пр., что в принципе обрезано правилами iptables. Поглядел - и все ходит напрямую, минуя проксю, в общем на файрволл ноль внимания. Отключил netams. Вопрос: получается, что ввод интерфейса в беспорядочный режим сводит на нет все-то, что я нагородил с помощью iptables? Просто по-тупому открывает меня всему миру? И когда запускаешь tcpdump тоже? А как же тогда работают всякие snortы?

Хочется оставить правила файрволла и при этом собирать статистику с интерфейса (детальную!)

Вот после этого печального случая боюсь прямо вообще какой-либо биллинг пробовать - не понимаю вот я, ответьте на вопрос пожалуйста.

Есть вот lanbilling, у него есть сетевой ethernet-агент. Почитал, так и не понял механизм сбора информации с интерфейса - а вдруг тоже при помощи libpcap?

как, оставив текущие правила iptables, детализировать трафик, прошедший через интерфейс, не используя libpcap. Или как увязать тогда беспорядочный режим и iptables? просветите, а?