怎么定位到是哪个 IP 在偷跑流量？

最新机场的流量偶尔突然彪一下。有的时候上百 G ，有时几十 G 。日常从 clash dashboard 看实时流量，监控不到。
确定没有主动去用流量，油管、奈飞最近也没看注（因为最近没回家）。

有一个 linux 容器做网关，流量都导到这里。上面有 clash

首先能基本判断不是订阅泄露，因为通过 clash dashboard 看有个总流量，确实耗了那么多的下载量。

怎么才能定位到是什么消耗的？

家里设备多，常开了两台 win 电脑，上面有迅雷，steam 、电报等软件 一般常开着。开始怀疑是迅雷，后来把迅雷关了 观察了几天还会跑流量。
还开着两个容器挂 PT ，但 PT 的网关不是指向 clash ，流量不过 clash 的容器，配的路由器的，走运营商直接出去的。
还有虚拟的 win ，google tv 电视盒子、ipad 等。


clash dashboard 好像只能看最近客户端的流量。
clash dashboard 有个保留关闭链接的，但是保留不了多一会浏览器就卡住，一刷新就没了。

看到有个 clash-tracing ，之前弄过 没研究明白。这个可以吗？如果能看出哪个 IP 跑的流量多 我就再硬着头皮搞搞。