Ntop et Ethereal : resultat different

Bonjour

Je realise une analyse reseau, et utilise 2 outils de monitoring : Ntop et
Ethereal
J´ai configuré le port mirroring sur le switch de sorte a copier le traffic
circulant par le port du mail server

Voila le dispositif ( les liens de la monitoring station sont provisoires,
le temps de l´analyse)

exchange server
|
|
Swicth ------------------ Monitoring station
| |
| |
Firewall ----------------------Switch ----------- Mail server
DMZ ------------- internet

Y a un truc que je comprends pas, par rapport au fonctionnement des outils.

Ntop : il m´indique que la moitié du traffic, soit 50Mo, se fait entre le
Mail server et le Firewall. Par contre a aucun moment de l´analyse
n´apparait l´exchange server.

Ethereal : chaque fois que le Mail server contacte le reseau interne, il
utilise l´adresse de Exchange server.
Par contre je n´ai pas reussi a capturer une seule trame contenant l´adresse
du firewall ( pourtant avec 50Mo,je devrais bien en voir passer qques un
!!!! )

Ces 2 outils analysent bien le meme traffic ?!!!!. Comment est ce possible
que l´un voit des paquets transiter avec l´adresse du firewall et l´autre
avec l´adresse de l´exchange server. J´ai bien eu qques problemes au niveau
de l ínterpretation des reultats avec Ntop mais jamais a ce point la. ( Ntop
considere toujours les ports inferieurs a 1024 comme client)

Indice (a prendre avec precaution : je suis en allemagne, ca parle anglais,
et le responsable n´est pas un expert )
Le responsable du reseau m´a dit qu´il y avait une translation d´adresse au
niveau du firewall mais qu´il ne comprends pas les resultats de l´analyse,
je m´en retourne donc a vous tous pour m´aider a comprendre.

J´espere etre clair. Peut etre ai je fourni aussi des explications
superflues, je m´en excuse, c mon premier post.
Merci
Cedric