Как отслеживать пропускную способность каждого устройства, замаскированного iptables

Вопрос:

Какой инструмент я могу использовать для отслеживания и разбивки в реальном времени того, какая полоса пропускания направляется iptables на какие компьютеры?

Контекст:

У меня есть Linux-бокс, маскирующий около 15 устройств в Интернет с помощью iptables с 3 сетями Ethernet (2 LAN, 1 WAN).

Время от времени пользователь использует всю полосу пропускания ADSL.

я использую bwm-ng для мониторинга трафика, и я вижу такой результат:

$ bwm-ng
  bwm-ng v0.6 (probing every 0.500s), press 'h' for help
  input: /proc/net/dev type: rate
  /         iface                   Rx                   Tx                Total
  ==============================================================================
             tun0:           0.00 KB/s            0.00 KB/s            0.00 KB/s
             eth0:          31.35 KB/s          649.82 KB/s          681.18 KB/s
             eth1:         649.40 KB/s           33.84 KB/s          683.24 KB/s
             eth2:           0.00 KB/s            0.00 KB/s            0.00 KB/s
               lo:           0.00 KB/s            0.00 KB/s            0.00 KB/s
  ------------------------------------------------------------------------------
            total:         680.75 KB/s          683.66 KB/s         1364.42 KB/s

Итак, я вижу, что трафик, полученный по eth1 (WAN), направляется на какой-то IP в eth0 (LAN), поэтому кто-то делает мега-загрузку.

Дело в том, что этот пользователь часами потребляет всю полосу пропускания.

Я мог узнать, кто это, сделав следующее:

• Режем доступ к одним IP и наблюдаем bwm-ng, потом режем другие и тд. Но это грязно. Это прервет обслуживание, а я не хочу этого делать.
• Указание iptables регистрировать весь трафик и попытки чтения журналов, но я думаю, что это гораздо более болезненно по сравнению с инструментом, который отображает это через уже переваренный ssh, аналогично bwm-ng.

Не нужны ни исторические данные, ни модная графика. Просто информация в реальном времени и текст по ssh (например, bwm-ng) были бы идеальными.