Трансляция пакетов в реальном времени

Есть шлюз под дебианом. Интерфейсы eth0 и eth1 - в интернет и в локалку соответственно, статический внешний IP. На шлюзе iptables и squid (NCSA-авторизация).
Имеется желание периодически мониторить в реальном времени, кто «кушает» канал, особенно исходящий (ADSL на 70 человек с IP-телефонией с его «выхлопом» - сущий ад, но альтернатив нет). iptraf на eth0 показывает адрес назначения -> адрес шлюза, на eth1 - адрес компа в локалке -> адрес шлюза. А вот соответствия между ними как-то добиться не получается. Пакеты ретранслируются то ли на иптаблицах, то ли на сквиде, понять ничо толком не могу.
Существует ли способ посмотреть, на подобие tcpdump'a, как и куда транслируются пакеты? Откуда, с какого порта, куда, на какой порт и т.д. Пробовал netstat-nat|grep $порт_назначения_на_шлюзе, в выводе пусто.
Товарищи гуру, подскажите!