Ungewöhnlicher hoher Gesamt-Traffic

[simple]

Ich greif das hier mal auf, da sich bei mir dasselbe Bild bietet, nur in anderer Größenordnung. Ich habe ~ 10GB echten Traffic auf dem Server bisher (1. bis 10. Februar, alle Ports zusammengezählt). Dazu kommen "sonstiges" rund 200GB, also das 20fache aller verursachten gewollten Traffics zusammen. Die Datei ispcp-iptables-output.log (was ja die Ausgabe von iptables zur Traffic-Berechnung ist) sieht so aus:

Code:

Chain ISPCP_OUTPUT (1 references)
    pkts      bytes target     prot opt in     out     source               destination        
       0        0            tcp  --  *      *       0.0.0.0/0            0.0.0.0/0           tcp spt:993
       0        0            tcp  --  *      *       0.0.0.0/0            0.0.0.0/0           tcp spt:995
       0        0            tcp  --  *      *       0.0.0.0/0            0.0.0.0/0           tcp spt:587
     740    61902            tcp  --  *      *       0.0.0.0/0            0.0.0.0/0           tcp spt:25
    1747   761378            tcp  --  *      *       0.0.0.0/0            0.0.0.0/0           tcp spt:143
     188    78270            tcp  --  *      *       0.0.0.0/0            0.0.0.0/0           tcp spt:110
       0        0            tcp  --  *      *       0.0.0.0/0            0.0.0.0/0           tcp spt:443
    7956  8086896            tcp  --  *      *       0.0.0.0/0            0.0.0.0/0           tcp spt:80
   18974 10989065 RETURN     0    --  *      *       0.0.0.0/0            0.0.0.0/0

Hier fällt auf (und das sieht immer gleich aus), dass die RETURN-Werte der "sonstige" Traffic sind, also aus irgendeinem Grund nicht weitergereichte Pakete. INPUT ähnlich:

Code:

Chain ISPCP_INPUT (1 references)
    pkts      bytes target     prot opt in     out     source               destination        
       0        0            tcp  --  *      *       0.0.0.0/0            0.0.0.0/0           tcp dpt:993
       0        0            tcp  --  *      *       0.0.0.0/0            0.0.0.0/0           tcp dpt:995
       0        0            tcp  --  *      *       0.0.0.0/0            0.0.0.0/0           tcp dpt:587
     822   276111            tcp  --  *      *       0.0.0.0/0            0.0.0.0/0           tcp dpt:25
    1996   269287            tcp  --  *      *       0.0.0.0/0            0.0.0.0/0           tcp dpt:143
     208    11184            tcp  --  *      *       0.0.0.0/0            0.0.0.0/0           tcp dpt:110
       0        0            tcp  --  *      *       0.0.0.0/0            0.0.0.0/0           tcp dpt:443
    6681   835134            tcp  --  *      *       0.0.0.0/0            0.0.0.0/0           tcp dpt:80
   32062 29571998 RETURN     0    --  *      *       0.0.0.0/0            0.0.0.0/0

RC7, gleiches Verhalten auf mehreren Servern. Die Berechnung scheint richtig zu sein, im Traffic-Monitor der Netzwerkkarte sehe ich die gleichen Zahlen, der Server im Beispiel oben hat aktuell rund 220GB Traffic. Kann das Verhalten noch jemand nachvollziehen?