гуру шейпинга вопрос

режу клиентский трафик целиком отталкиваясь от IP клиента.

вычленить torrent трафик сейчас очень сложно. из того, что есть процент срабатываний уже мал - это если про L7

приоритезируем dns, http, icmp и т.п. по вкусу, остальное жестоко урезаем

Да похоже, что сейчас это единственный действенный способ. Только беда в том, что тот же обфусцированный skype тоже попадёт в урезанные сервисы.

iproute2. L7 делался через марки в iptables. Конкретно злопровыебучий uTP был зарублен на корню через тот же айпитейблс.

Не проще проанализировать содержимое пакетов? Для старых версий uTP решение элементарно ищется в гугле, для новых - wireshark в зубы и барабан на шею.

от шифрования и барабан не поможет

Шифрование требует согласования. А согласование можно отловить и прибить.

нет. потому что изначально шифрование защищало этап договора между двумя peer-ами. потому что, шифровать и передачу данных раньше было накладно.

Во всяком случае, при мнеу меня в сети такой херни не ходило. Возможно я что-то не так делал.

усмирить - никак
Когда-то «придумал» интересный(как мне кажется) концепт.
Весь трафик от пользователя, за исключением http/dns/icmp/something считается, и как только превышает какоето пороговое значение - маркируется и помещается в тормозную трубу, если за сутки он превышает второе пороговое значение - банится на пару дней, если нет - вытягивается из тормозной трубы.

iptables, iproute2, ipset

Самый простой вариант - повысить приоритет до максимума для консолей, iptv, voip, на 80 порту и прочий полезный трафик.
Всму остальному минимальный приоритет в QOS.

Способ не Ъ, почему - писал выше.

Вот еще вариант - торрент клиенты и скайп используют upnp что бы открыть порт и шлют на сервер своё имя. на upnp сервере, открывая порты можно метить не нужный (торрент) и нужный (скайп) трафик. Но это всё возможно в небольших сетях, где пользователи выходят в инет чз центральный nat сервер