подсчет трафика

использую nacctd для подсчета транзитного трафика (используется nat). Трафик считается на внутреннем интерфейсе и пишет в базу какой айпишник сколько выкачал. Но не пишет откуда. В выходные некоторые оставляют компы включенными и иногда происходит странное: например один раз исходящий трафик был 614,415,112! Откуда он может браться?