FreeBSD-шлюз и траффик
 

Люди, помогите пожалуйста.
Есть шлюз на основе ФриБЗД, он обеспечивает всю локалку инетом (выделенка). Администратор судя по всему что-то поправляет в логах или настройках так, что получается по логам траффика использовано раза в 2-3 больше чем на самом деле. Сам админ имеет удаленный доступ к машине.

Скажите, как можно узнать что и где он меняет (с БСДшками я ни разу не работал).

Заранее благодарен.

Словить Админа (главное чтоб живой и вменяемый был) ну и там иголки под ногти , выкручивание конечностей ... :)
или вариант пусть шеф нормально платит :)