1.5Kb / s é o tamanho certo para um pacote por segundo. Eu vi casos em que o TCP Delayed Ack não estava funcionando e os pacotes estavam sendo enviados com atrasos de 200ms, mas 1000ms é algo totalmente diferente. Este é o ponto em que eu solto o sniffer de pacotes e vejo o que está acontecendo no fio.
Como você está vendo um comportamento diferente do tráfego na rede e fora da rede, aproveito as capturas em três áreas:
- Tráfego de local para local
- Tráfego de local para remoto, dentro de seu dispositivo de borda (como no próprio servidor local via TCPDump)
- Tráfego de local para remoto, fora do dispositivo de borda (bom: no próprio dispositivo de borda, melhor: no comutador que alimenta a conexão de internet do dispositivo de borda).
2 e 3 são muito importantes, pois podem ajudá-lo a descobrir se o seu dispositivo de borda está, de alguma forma, filtrando coisas que não deveria ser ou se o lado remoto está fazendo coisas que não deveria. Você está procurando por anomalias e, como há um grande número de maneiras pelas quais as coisas podem falhar dessa maneira, não posso dar uma orientação específica sobre como identificar as coisas que estão lá. O Wireshark tem alguns bons realces de erros, que podem dizer o que está acontecendo apenas carregando as capturas.