[Comm] Reverse DNS records database creation

["Pavel S. Khmelinsky" <hmepas@yauza.ru>]

Вступление:
Как протоколируется трафик? Обычно
ip_from ip_to bytes time (иногда еще dst_port src_port)

Далее предположим что так сохраняется пользовательский трафик 
крупного провайдера.
В один прекрасный момент звонит злой пользователь и шумит что 
провайдер кидает его на бабки. На вопрос в чем дело отвечает, что 
мол 100 мегабайт ушло за день, а он за весь день только по 
форумам шарился и вообще ничего не качал.
Что ему предъявить? Статистику по трафику, с кучей циферек 
которые ему ничего не говорят?  Бесполезное занятие нужно как 
минимум имена хостов предлявлять --  это уже более менее 
вразумляет. Но тут другая проблема -- не все IP адресса есть в 
обратной зоне и даже если есть полученное этим способом имя не 
всегда совпадает с тем именем по которому был получен IP адрес.

Что же делать? Как правило пользователи провайдера используют 
провайдерский DNS сервер. Т.е., теоретически если кешировать все 
DNS запросы то потом можно будет хотябы точно сказать с какого 
доменного имени пользователь сколько скачал.

Вопрос:
Как это реализовать? То что выдает Bind по rnds dumpdb не 
подходит. То что выдает на этот счет tcpdump  довольно сложно 
парсить.
Может у кого есть наработки на эту тему?
Squid не предлагать это конечно кардинальное и удобное, с точки 
зрения предоставления отчетов, решение но оно мне не подходит.