Como monitorar a largura de banda para cada dispositivo mascarado iptables [fechado]

Question

Pergunta:

Qual ferramenta eu poderia usar para monitorar e dividir em tempo real qual largura de banda é roteada pelo iptables para quais computadores?

Contexto:

Eu tenho uma caixa de linux disfarçando cerca de 15 dispositivos para a internet com iptables com 3 ethernets (2 LAN, 1 WAN).

Ocasionalmente, um usuário consome toda a largura de banda de ADSL.

Eu uso bwm-ng para monitorar o tráfego e vejo um resultado como este:

$ bwm-ng
  bwm-ng v0.6 (probing every 0.500s), press 'h' for help
  input: /proc/net/dev type: rate
  /         iface                   Rx                   Tx                Total
  ==============================================================================
             tun0:           0.00 KB/s            0.00 KB/s            0.00 KB/s
             eth0:          31.35 KB/s          649.82 KB/s          681.18 KB/s
             eth1:         649.40 KB/s           33.84 KB/s          683.24 KB/s
             eth2:           0.00 KB/s            0.00 KB/s            0.00 KB/s
               lo:           0.00 KB/s            0.00 KB/s            0.00 KB/s
  ------------------------------------------------------------------------------
            total:         680.75 KB/s          683.66 KB/s         1364.42 KB/s

Então eu vejo que o tráfego recebido na eth1 (WAN) é roteado para algum IP na eth0 (LAN), então alguém está fazendo um mega-download.

O problema é que esse usuário usa para consumir toda a largura de banda por horas.

Eu poderia descobrir quem é esse fazendo o seguinte:

• Cortando o acesso a alguns IPs e observando o bwm-ng, depois corte outros e assim. Mas isso é sujo. Isso interromperia o serviço e eu não quero fazer isso.
• Instruindo o iptables para registrar todo o tráfego e tentando ler os logs, mas acho que isso é muito mais doloroso com relação a uma ferramenta que exibe isso sobre o ssh já digerido de uma maneira similar à do bwm-ng.

Não há necessidade de dados históricos nem gráficos extravagantes. Apenas informação em tempo real e texto sobre ssh (como bwm-ng) seria perfeito.