На web-сервере перловый скрипт по крону считает траффик, используя пакет ng_ipacct (исп-ий подсистему net_graph на freeBSD), рез-ты выполнения которого в виде (по столбцам):
ip-адрес отправителя, порт отправителя, ip-адрес получателя, порт получателя, номер_протокола(из /etc/services),кол-во пакетов, кол-во байт. И отдельно по крону отрабатывает awstats. Так вот интересно, почему awstats показывает в Сводной таблице Просматриваемый трафик+Непросматриваемый трафик>чем показывает ng_ipacct примерно в 1,5...2 раза? Может это кривизна awstats? или в логе апача не совсем чёткая информация о трафике формируется? Вообще доверия больше к ng_ipacct - он же на уровне ядра ОС работает...

ng_ipacct скорее всего не учитывает служебный трафик, который апач плюсует... Только в этом может быть дело.

В логе апача содержится размер отправленной сервером клиенту информации. А по пути эта информация "упаковывается" в сегменты TCP, потом "оборачивается" в пакеты IP. Думаю (в тонкостях BSD особо не разбираюсь) netgraph на уровне ip трафик и считает, не дальше. Этим и объясняется разница в показаниях.