Итак, сегодня протестировал на реальном компьютере с зеркального порта.
Рабочий фильтр для абонентского акцесс порта, как подсказали с учётом сдвига на 4 байта для DES-3526 и чистого IP траффика без энкапсуляции(ppoe, l2tp, pptp):
create access_profile packet_content_mask offset_48-63 0x0 0x0 0x0000FFFF 0xFFFF0000 profile_id 40
config access_profile profile_id 40 add access_id auto_assign packet_content_mask offset_48-63 0x0 0x0 0x00000038 0x00000000 port 1-24 deny
Напрочь срезает uTP пиры в торренте, это видно прямо в его окне. Искомый ключ 00:38:00:00. Другое пока не фильтровал. Возможно ещё займусь пакетами IPV6 внутри IPV4

они содержат ту же последовательность, но с гораздо большим сдвигом. Хотя там вроде и выше есть характерный ключ.
0000 00 0e d6 cf e8 1a 00 1b 38 11 34 48 08 00 45 00 ........ 8.4H..E.
0010 00 58 39 8d 00 00 80 29 8c b7 52 c7 61 06 5f 53 .X9....) ..R.a._S
0020 61 18 60 00 00 00 00 1c 11 80 20 02 52 c7 61 06 a.`..... .. .R.a.
0030 00 00 00 00 00 00 52 c7 61 06 20 02 5f 53 61 18 ......R. a. ._Sa.
0040 00 00 00 00 00 00 5f 53 61 18 63 b6 d8 a3 00 1c ......_S a.c.....
0050 77 0b 11 00 a8 23 50 0d 84 bf 00 00 00 00 00 38 w....#P. .......8
0060 00 00 91 32 04 7f ...2..
0000 00 1b 38 11 34 48 00 19 d2 29 9c 23 08 00 45 00 ..8.4H.. .).#..E.
0010 00 58 00 00 40 00 9e 29 05 56 c0 58 63 01 52 c7 .X..@..) .V.Xc.R.
0020 61 06 60 00 00 00 00 1c 11 7f 20 01 00 00 5e f5 a.`..... .. ...^.
0030 79 fb 0c 69 3a 0e a4 a5 dd f8 20 02 52 c7 61 06 y..i:... .. .R.a.
0040 00 00 00 00 00 00 52 c7 61 06 4f 8f 63 b6 00 1c ......R. a.O.c...
0050 04 4e 21 00 b9 cf f6 eb cf 18 a7 3c 1b 77 00 38 .N!..... ...<.w.8
0060 00 00 8b 13 0f aa ......