Сервер с биллингом флудит

с какого то порта из промежутка 0-1024 идет флуд и роняет сетку. tcpdump ничего критичного не показал.

Как определил с какого порта идёт флуд тогда?

И что значит «роняет сетку»?

Cisco-ой закрыл эти порты,а с 1025 по 65535 открыл. Ну как я понимаю много пакетов начинает отсылать и сетка начинает с перебоями работать и до билинга не достучаться.

tcpdump ничего критичного не показал

Что значит не показал? Он либо не показал, и флуда нет, либо показал, и флуд есть. Третьего не дано.

Какой то большой сетевой активности он не показал, но в тоже время сервер зафлудил сетку.

Давай начнём сначала: что такое в твоём понимании флуд?