Сделал для теста, потому что nft inet не работает как сказали с netdev ( ingress hook ). Для меня, оптимальний вариант - ето сделатъ все в inet.
В netdev нет понимания о CLASSIFY + fwd to - ето только в inet, но наоборот.
И я сделал - 1. - марк, 2 - fwd - 3 - match mark (+classify)... и тд.,
а нужно:
1: classify (у ingress inet + fwd to "devXX").
2: класифицировать уже в шейп.