>То есть ставлю какой-нить NetFlow коллектор под линукс - кстати
>посоветуй плиз какой лучше проинсталлить - и на него лью с 1720
>статистику

У меня самописный скрипт либо flow-tools в таких случаях работают

>- насколько я понимаю задача - выяснить что за злобная железяка

С какого ip-адреса ...

>генерит такой трафик - все верно? Кстати на 1720 стоит еще на
>внешнем
>интерфейсе(к прову выделенка)ip accounting output-packets - это
>провайдер забирает статистику по исходящему трафику

>а NetFlow насколько я знаю наоборот - считает входящий трафик - но

NetFlow считает входящий траффик на определенный интерфейс. Но если он для какого-то интерфейса является входящим, значит для остальных он будет исходящим.
Необходимо лишь правильно выбрать интерфейс. В твоем случае это тот, на которой зацеплена 5350.