вот спасибо за наводку. мною были опробованы bpft4, iptraf, ntop, trafd, trafshow - нормальную функциональность не удалось получить ни от кого. Интерфейс у меня следующий:
--------------------------
cx0 Link encap:(Cisco)-HDLC
inet addr:XXX.XXX.XXX.X8 P-t-P:XXX.XXX.XXX.X7 Mask:255.255.255.255
UP POINTOPOINT RUNNING NOARP MTU:1500 Metric:1
RX packets:3458235 errors:319 dropped:0 overruns:0 frame:0
TX packets:2877060 errors:0 dropped:0 overruns:0 carrier:0
collisions:0 txqueuelen:100
RX bytes:662266126 (631.5 Mb) TX bytes:1479202085 (1410.6 Mb)
--------------------------
iptraf его вообще не видел, bpft4 при запуске молча вываливался, ntop запускался, но кроме количества пакетов никакой информации по IP протоколу предоставить не мог, про trafd, trafshow уже не помню...
ipcad при запуске ругается так
Opening cx0... Warning: arptype 513 not supported by libpcap - falling back to cooked socket
Initialized
но тем не менее работает. что интересно, tcpdump ругается точно также, и тоже работает. Пакеты собирались с libpcap-0.7.1