Testando:
Crie uma regra qualquer que combine com um protocolo que você utilize nesta máquina. Por exemplo, se você possui um servidor web rodando nesta máquina, crie a seguinte regra:

# iptables -A INPUT -m layer7 --l7proto http

Agora gere algum tráfego (acessando as páginas do seu servidor) e em seguida execute o seguinte comando:

# iptables -nvxL OUTPUT -m layer7 --l7proto http

Isto vai mostrar a contagem de pacotes e bytes que casam com esta regra (pacotes que a máquina enviou via protocolo http). Eu uso essa técnica (junto com awk/grep/cut e rrdtool) para gerar gráficos de consumo de banda.

Bloqueando protocolos

# iptables -A FORWARD -m layer7 --l7proto msnmessenger -j DROP

e acabe com o uso do MSN Messenger na sua rede.

Limitando ("shapeando") a taxa de downloads

OBS: Este exemplo pressupõe que você conhece um pouco de CBQ/HTB. Caso você não esteja familiarizado com a ferramenta tc, sugiro uma lida nos artigos que estão na área de referência.

Use o iptables para marcar os pacotes que coincidem com sua regra:

# iptables -A PREROUTING -t mangle -i eth0 -j MARK --set-mark 6

No caso foi colocada a marca 6. Poderia ser utilizado qualquer número (desde que seja inteiro, positivo e diferente de zero)

Depois, crie um filtro que pega tudo o que estiver com a marca definida (6, no nosso caso) e joga para a classe definida (no caso abaixo 1:1).

# tc filter add dev eth1 protocol ip parent 1:0 prio 1 handle 6 fw flowid 1:1