в iptables логировать факты установки соединений (что-то типа описание_того_что_считаем_установленным_соединением -j LOG --log-prefix "Connection established"). Данные со всех серверов собирать с помощью Filebeat в ELK (Elasticsearch + Logstash + Kibana) для последующего анализа и визуализации.
