пакеты, замеченные в ifconfig, но не на tcpdump
звучит как задача для «Найти»: Найти / TMP -MTime +30 -Delete (с побочным эффектом, который удаляет файл из в пределах каталога, меняет свое мем, поэтому счетчик сбрасывает на это каталог)
Попробуйте проверить, не препятствуют ли iptables выходу трафика. Используйте iptables --list для просмотра и /etc/init.d/iptables stop для выгрузки всех правил.
(Это не вопрос инжиниринга сети. Это вопрос о работе системы Linux(?).)
tcpdump получает копии пакетов с высоты в сетевом стеке -- примерно там, где они передаются от драйвера к ядру. Я не знаю, какую статистику tx/rx вы смотрите, или конкретный драйвер для вашего ника, так что я не могу сказать, откуда они пришли. ethtool может запрашивать данные непосредственно из драйвера, если это поддерживается. (и включает статистику, которую ядро не отслеживает.)