если некритичен раздельный шейп на исход для мира и украины, то только добавить описание внешнего интерфейса с украиной надо в rc.firewall )
то что исход не будешь шейпится понятно конечно, но смущают правила, где таблица 126
05001 1482351226 646930695302 skipto 5010 ip from table(127) to table(126)
05226 0 0 allow ip from table(127) to table(126)
33000 187571407 253159945580 pipe tablearg ip from table(126) to table(127)
33226 77145 103493013 allow ip from table(126) to table(127)
украину я добавил обычным вланом, ну и заанонсил соответственно на тазик.