Hola armando:
He estado investigando y he visto que el tcpdump v3.7 no da lo que quiero. Si pruebas el tcpdump v3.4 si lo da. En la traza se indica algo asi:
12.34.54 eth0 > 126.235.125.254:234 ................
12.35.54 eth0 < 125.214.12.12:6676 .................
esto te indica si el paquete entra en la maquina por esa interfaz o sale de la maquina por esa interfaz.
Bueno gracias de nuevo y saludos.