pcap и потеря пакетов под нагрузкой

очевидно не использовать pcap а использовать, например, mmaped PF_PACKET sockets

а где об этом можно подробно почитать, желательно с примерами?! кроме гугля :)

Никак "трафегощеталку" изобретаешь ? Никак не сделаешь, на тяжелой загрузке, все равно при дивертинге в юзерспейс оно дропаться будет. Хоть через пикап, хоть через ULOG хоть через дивертинг в нетлинк сокет. Только через пикап оно будет молча дропаться, а другим способом можно узнать об этом факте.

Правильнее всего писать ядерный модуль с агрегацией внутри, и в юзерспейс пачками отдавать агрегированые данные. А агрегировать в два балансированных дерева по нужным критериям. Пока в одно агрегируешь второе отдаешь в юзерспейс, потом деревья меняешь местами, чтобы об семафоры не спотыкаться.

Минус - некроссплатформенно нифига аще =(

да ядрёный модуль уже есть в планах, просто для начала хоцца такой вариант