Есть провайдерский gateway, на нём стоит pf который занимаецца натом. Всё было бы хорошо, да вот пришли дяди с федеральной службы и попросили сделать им базу в которой будет [время] [ip до NAT] [ip после NAT] [ip на который идёт соединение]

Как я понимаю трафик в таком виде(можно даж без времени) отсылать по Netflow на машину-capture.

Вопрос как?