Jakékoli shapingy, QoSy apod. fungují POUZE na egress portu!

Ingress se řeší jako egress na druhé straně routeru (tj.: upload řešíš jako odchozí na WAN, řízení downloadu řešíš jako odchozí na LAN). Pro řízení druhé strany tak musíš nastavit dst adresy a pravidla nasadit i na druhý iface.