Подсчет маркерованного трафика

[prizes]

Маркерую все пакеты в цепочке PREROUTING, затем перемаркеровываю в POSTROUTING в зависимости от адреса назначения.
командой
iptables -n -v -t mangle -L POSTROUTING
могу просмотреть количество уже перемаркерованных пакетов, но только тех правил которые тут и прописаны. Надо увидеть количество оставшихся пакетов с первоначальной маркой.
Надо точно смотреть в POSTROUTING'e т.к. это выход, но только как увидеть там пакеты с определенной маркой?

Цель: собрал nat с шейпером TC HTB. создал классы для определенных пользователей в локальной сети и 2 класса для всех остальных. 2 потому что трафик разных зон с разными скоростями. но есть еще default класс куда помещается трафик не подходящий ни к одному фильтру(т.е. все остальные). Теоретически туда не должен попадать никакой трафик т.к. у меня для это создано 2 отдельных класса и именно по маркам в них заварачиваются, но обнаружил вот что

class htb 1:900 parent 1:1 prio 0 quantum 1000 rate 2Kbit ceil 2Kbit linklayer ethernet burst 1600b/1 mpu 0b overhead 0b cburst 1600b/1 mpu 0b overhead 0b level 0 buffer [05f5e100] cbuffer [05f5e100]
 Sent 4074 bytes 97 pkt (dropped 0, overlimits 0 requeues 0

Вот надо узнать кто туда попадает

[AnrDaemon]

fprobe-ulog