Только догадавшись проставить CONFIG_FW=yes в /etc/net/ifaces/default умудрился запустить систему файрвола и начать маркировать пакеты, до этого долго удивлялся – правила верны, все ок, но ничего не работает =)