>> Kakoi spam?  216.66.15.109:80<?
>  Если весь трафик идёт через сервер FreeBSD (НАТится) - то источник
> соединения с указанным IP во внутренней сети можно определить, запустив tcpdump
> на внутреннем интерфейсе. Ну, например, вот так - tcpdump -vvAs0 -i
> eth1(или как там во Фре обозначаются инфтерфейсы?) host 216.66.15.109 (или net
> 216.66.15.0/24, как вариант)

Я бы еще порекомендовал поискать специалиста, а не заниматься обучением на работающих пользователях.