доброго времени суток
Происходит нечто непонятное, после того как снёс Виндовую тачку на которой крутился ДНС и установил туда Линух  стал замечать огромный исходящий трафик, причём прыгает он как то странно. Может увеличиваться с нормальной теденцией, а по утрам в каких то два часа по каждому внешнему реальному IP
уходит по 70-100 Mb (исходящего трафика) и это при входящем за этот же период 3-7 Mb. Стоит Bind-9 Мой сервер является Master DNS сервером для 6 доменов, так же на этой тачке крутится вся почта по этим доменам.
Первое что пришло в голову проверить свою почту на relay. Опасения не подтвердились, остаётся грешить только на DNS, хотя в named.conf ничего анормального не нашёл
ВОТ КУСОК named.conf

controls {};
options {
directory "/var/cache/named";
listen-on { 222.218.115.8; localhost; };
version "Go away!";
allow-transfer { 222.218.115.7/32; };
allow-query { any; };
};

zone "localhost" in {
type master;
file "/var/cache/named/localhost.zone";
allow-update { none; };
};

zone "0.0.127.in-addr.arpa" in {
type master;
file "/var/cache/named/127.0.0.zone";
allow-update { none; };
};

zone "." in {
type hint;
file "/var/cache/named/root.hint";
};

zone "host.ru" in {
type master;
file "/var/cache/named/host.ru.zone";
};  

Хотелось бы прослушать трафик по портам, что бы идентифицировать службу
инициирующую этот трафик, трабля - как это сделать?