у меня ipcad слушает интерфейс и отдает flow-tools который ложит в файл. Раз в 5 минут запускается скрипт на перле формирует файл конфигурации для flow-tag и пару фильтров и все это скармливается flow-tools результат ложится в базу (тоесть идет подсчет трафика по различным трафик зонам, у меня их 5), далее по цепочке тригеров, вызываются хранимые процедуры и 5 -минутные интервалы агрегируются в часовые, те в свою очередь в суточные и тд.  Один недостаток такого решения клиент не видит посещенных сайтов, а надо ли? для меня не нада, для меня важнее меньший обьем данных в базе и быстродействие. Если нужно делать разбор полетов, то другой скрипт на перле получая начальный и конечный отрезок времени и ип адрес клиента грепает статистику с файлов flow-tools и отсылает ему на мыло.