попробуй sockstat или netstat -a(n)

это не совсем тот инструмент.
Хотя, если считать пользователям и пользователи работают только через прокси, то в принципе можно. Хотя ты им будеш считать больше, чем они скачали на самом деле изи за кэширования.
Если считать весь трафик даваемый маскарадингом, то лучше поставить trafd

если у вас каждый юзер сидит постоянно на 1 апишнике, то маскарадинг в принципе подходит.
tcpdump использовал редко, в основном для изучения проблем в своих сетевых прогах.

про линукс ничего не скажу :-) не знаю...
если у тебя виндовый домен и бегующие по компам пользователи, а у компов динамичные айпишники и при этом пользователям хватит только http-proxy, тогда я совсем недавно на opennet.ru видел интересную статью(или ссылку на статью) в которой описывается как построить то, что тебе нужно.

эта погрешность всегда будет в не в пользу пользователям, но в пользу всей конторе.
такой маленький бонус :-)
поэтому я забиваю на кэшрование и пользователям даю по внутреннему интерфейсу с проксевого порта.
конечно, денег они не платят, поэтому ни у кого претензий нет на эту тему :-)

в твоем случае вполне можно обойтись trafd-ом мне кажется. Только нужно поразбираться в том какие команды у него что делают, чтобы эффективно им пользоваться.