Странности при подсчёте входящего тарфика через iptables.

Считаю входящий трафик через iptables на сервере гда крутятся apache,ftp,bind,exim . Есть цепочки считающие трафик по каждой запущенной службе и есть цепочка считающая общий входящий трафик на интерфейсе. В резултате общий трафик на интерфейсе получается в 2-3 раза больше тарфика суммируемого по запущенным сервисам. Считал также icmp и udp трафик , но дело не в нём. Как выяснить окуда получается лишний входящий трафик ?