SARG + IPAC = разные данные

ipac читает с интерфейса, а SARG из Лога сквида.

И что, поэтому у него то 20М, то 150М разница, для каждого пользовательского адреса

Это не просто объяснить. Сарг считает логи сквида, а тот пасёт http и ftp. Ипак может пасти любой протокол. Если ты написал считать в ИПАК все протоколы, а потом сравниваешь результат с Саргом, то разница понятна: ипак сосчитал действительно весь трафик юзера, а сарг( точнее сквид;) только трафик по протоколам http и ftp. Если же ты считаешь 20, 21, 80 порты ipac'ом и сравниваешь это с результатами сарга, то в идеале разница должна быть очень небольшой (как у меня например < 1%, у ipac всегда больше), чем она обусловлена я точно не знаю (есть предположения), но доверяю ipac, т.к. всё-таки подсчёт ведёт ядро, а ипак только снимает показания счётчиков. Потом ipac надо ещё корректно настраивать, помня, что есть tcp, но есть и udp, который тоже надо учитывать. Плюс к этому если ты считаешь интернет-трафик, то надо ещё отсеивать локальный трафик по соотвествующим протоколам. Тут очень много тонкостей, которые надо учитывать.

Спасибо большое. разобрался