Фрегат отвечает на вопросы.

[ZaQ]

Ну тогда оперируем в рамках стека? Ок?

мы из этих рамок и не выходил вроде бы)

Да я же сказал ... в упрощенном виде - считается кол-во IP соединений за единицы обсчета (2-5 минут).

Вот теперь подробнее пожалуйста, что в вашем понимании есть IP-соединение, раз уж мы не смотрим на РФЦ и пользуемся некой никому не известной терминологией?
Смею предположить что вы вкладываете в это пару "ИП-источника -- ИП-приемника" и, возможно, некую плотность посылки пакетов, т.е. количество пакетов в единицу времени.

Причем не важно что там "бежит" поверх TCP/UDP/ICMP как и направление трафика.
Более 30000 таких соединений - это аномалия.

Если вы подтвердите мое предположение касательно термина "ИП-соединение", то ситуация более менее проясняется.