А вы посмотрите на схемы включения ТСПУ у провайдеров (документы с предписаниями РКН есть в открытом доступе). Там в большинстве случаев ТСПУ стоит до NAT’а. А для редких случаев, когда ТСПУ после NAT’а (например, когда он у вышестоящего магистрала), РКН как раз недавно продавил закон о том что провайдеры должны ему сливать данные (нетфлоу или еще что-нибудь), позволяющие однозначно идентифицировать абонентов уже у них.