HTB error, vagy h***e vagyok?

Van két felhasználó a rendszeren, akik a HTB mellett úgy elmennek, mint a huzat. Valószínű nem hozzáértők, hanem csak egy jó letöltőjük van. Hogy tudom megállítani őket? Sima www forgalmat csinálnak. A logokban nem látni semmit. Csak azt látom, hogy a 64k-s korlát mellett 700k-t csinálnak. Debian Woody van a szerveren. Ötlet?

A tc-t használom, az iptablessel össze van rendelve az ip címük a MAC címükkel, idegen ip nincs beengedve, és amikor a forgalmat csinálja, a saját ip címével megy. Arra gondoltam, hogy esetleg az ip fejlécet kócolja össze a letöltőszoftver...Próbáltam úgy is, hogy az ő csomagjaikat MARK-oltam, de a festés sem ér semmit. Milyen infó kellene még?