> Помню, что мониторный интерфейс, что в общем-то налагает..

Сам по себе интерфейс в состоянии monitor способен пережевывать сотни мегабит без заметной нагрузки на CPU.

> Может быть, включить promisc и делать ipfw fwd в того, кто честно слушает сокет?

Это будет сильнее грузить, чем ifconfig monitor. А интерфейс и так в promisc.

> И да, есть еще и flowd с возможностью отдачи скушанного netflow со всех сенсоров в unix socket в своем определенном формате. Куском софтины, которая это жует (для целей предаггрегации) могу поделиться

Спасибо, у меня уже всё хорошо стало (обновил пост).