Небольшая сеть имеет выход в Инет через сервер доступа (установлен AltLinux 2.4)

Большинство пользователей работают только через squid. Но некоторым включен режим ip маскарадинга по всем портам.

Недавно появилась проблема: по утрам срабатывает сетевой щит провайдера, выдает сообщение ip флуд и отрубает нас на 2 часа. Специалист провайдера объясняет, что у нас где-то вирус, который шлет сотни запросов за небольшой период времени.

Вопрос: вирусная активность идет очевидно не по http, потому что отчеты по squid (sarg) ничего не выявили. Подозреваю пользователей с маскарадингом. Как на сервере посмотреть за определенный период какие запросы проходят через iptables? (в более менее удобной форме, чтобы увидеть кто шлет эти сотни запросов) Какой можно установить монитор для этого дела?

Я давно пользуюсь GVIM, но не ставил никаких плагинов. Решил попробовать. Установил taglist.

map <F6> : Tlist<CR>

По F6 открывается/закрывается окно taglist. Но оно не обновляется при изменении исходника в основном окне. Как сделать, чтобы окно taglist удобно обновлялось при правке текста?