Если злоумышленник подключится к серверу №1, он сможет увидеть какой трафик идёт в него или через него?
сможет, включит tcpdump и посмотрит, поставит netflow, а коллектор на удаленной машине и будут у него логи.
"кто работает по ру, к тому приходят по утру" ))