вообщем, у меня не типичная ISP сеть с хабами на чердаках, это спутниковый хаб, трафик снимается анализатором между так называемым тсп акселератором (TCP PEP) и грачным маршрутизатором, этот трафик идет в инкапсулированном виде, IP в проприетари IP, на уровне энкапсуляции реализуются VPn спутника со всеми специфическими данными необходимыми для маршрутизации спутниковыми железками этого пакета
вы чекаете входящий это трафик или сходящий анализом адресов, для меня это очень неудобный вариант, так как в каждом VPN творится своя каша с адресными пространствами, и это дело клиента для которого эта часная сеть построена
поэтому, анализатор трафика, проставляет индентификаторы интерфейсов по следующему принципу:
если это прямой канал спутника (со спутникового хаба в сторону терминала) то исходящий номер интерфейса ставиться 4096, а интерфейс назначения выставляется в номер VPN
если канал обратный то интерфейс исходящий 10000+номерVPN, а назначения 14096
соотвественно я в независимости от того что там творится с адресами всегда могу опеределить какой это VPN и какое направление трафика (прямой или обратный канал), ip адреса я не проверяю воообще
кстати я только что бы несказанно рад тому что апдейтер мне добавил интерфейс ANY к моему источнику, мне так его нехватало....
))