Помню, что мониторный интерфейс, что в общем-то налагает..

Может быть, включить promisc и делать ipfw fwd в того, кто честно слушает сокет?

И да, есть еще и flowd с возможностью отдачи скушанного netflow со всех сенсоров в unix socket в своем определенном формате. Куском софтины, которая это жует (для целей предаггрегации) могу поделиться