Помогите с маркировкой пакетов iptables

[Anonym-tsk]

Дано - маршрутизатор с возможностью создавать политики и назначать их клиентам.
При добавлении клиента в политику, его трафик маркируется примерно таким правилом

-A _NDM_HOTSPOT_PRERT -m mac --mac-source 02:11:32:2B:56:01 -j MARK --set-xmark 0xffffaac/0xffffffff

Однако NFQWS тоже маркирует трафик меткой 0x40000000

Задача 1
Хочу сделать политику и чтобы NFQWS работал только для клиентов этой политики.
Что имеем:

• Роутер маркирует трафик меткой 0xffffaac/0xffffffff
• Для NFQWS пишем примерно такое правило

-A POSTROUTING -o eth3 -t mangle -p tcp -m multiport --dports 443,80 -m connbytes --connbytes-dir=original --connbytes-mode=packets --connbytes 1:8 -m mark --mark 0xffffaac -j NFQUEUE --queue-num 200 --queue-bypass

• После прохождения пакета через NFQWS, он перемаркировывается меткой 0x40000000, но вроде все работает как надо.

Задача 2
Хочу сделать политику и чтобы NFQWS не работал для клиентов этой политики.

• Роутер маркирует трафик меткой 0xffffaac/0xffffffff
• Для NFQWS пишем примерно такое правило

-A POSTROUTING -o eth3 -t mangle -p tcp -m multiport --dports 443,80 -m connbytes --connbytes-dir=original --connbytes-mode=packets --connbytes 1:8 -m mark ! --mark 0xffffaac -j NFQUEUE --queue-num 200 --queue-bypass

• После прохождения пакета через NFQWS, он перемаркировывается меткой 0x40000000, и сможет повторно попасть опять на обработку.

Помогите скрестить одно с другим, пожалуйста.

[bol-van]

Начнем с того, что nfqws использует только 1 бит, и он нужен для предотвращения зацикливания и избегания дедлоков.
Он работает с пакетами в очереди. Берет пришедший марк и ORит его с битом desync mark.
uint32_t desync_fwmark = fwmark | params.desync_fwmark;
Другие биты он не трогает.
Этот марк используется для сгенерированных пакетов. Цепочка OUTPUT, с самого роутера, не откуда-то пришедших.
nfqws может дропать в очереди приходящие откуда-то пакеты. Они перестают быть, исчезают из системы вместе с их маркировкой. Но вместо них генерятся свои пакеты в цепочке OUTPUT с марком OR desync mark.
Вот из этой логики и надо исходить.
Если прошивка где-то занимает весь марк 0xffffffff, то это плохо