Изредка идут SYN пакеты на внешний:80. Операционка - Линукс. Что может быть, куда копать? Чем можно посмотреть сетевую активность процессов в динамике?

Может не совсем понятно выразился. Изнутри идут.

мож в DNS кеше мусор...

Есть вероятность, что какая-то программа пытается определить наличие прозрачного proxy-сервера.
Это, как раз, один из способов его определения.

(3) Забавно... Прозрачный прокси был ранее, но я его отключил. До того такой активности не наблюдалось. Так же что-то билось во внутренний роутера на 8080, хотя прокси изначально был прозрачным.
В HTTP хидерах исходящих значился прокси с адресом отправителя 127.0.0.1.

(4) Если loopback, то смотри, что наковырено в фильтрах - так как он сам себя и вызывает.

А zeroconf мог инициировать такую активность?