есть 2 способа отлова шлюза в сети:
1 - по TTL пакета, при прохождении через шлюз уменьшается на 1, тоесть от пользователя будут идти пакеты с кривыми TTL. Правда элементарно исправляется при помощи iptables в linux
2 - по порядковому номеру пакета, на выходе шлюза получтся каша из порядковых номеров в отличии от машины которая одна висит на канале. Исправляется програмированием.
Конкретно инфу по данным приколам нужно рыть в нете. Когда то кажись видел в журнале хакер.