сейчас там 1000 человек. Вечером будет нагрузка.

Qinq?

нет. Там всё просто. Обычные вланы.

Как по мне странно что всего 2 очереди сильно нагружены

Посмотрите cat /proc/interrupts

А eth3 это что?

Это Intel Corporation 82599ES 10-Gigabit SFI/SFP+ Network Connection

Только этот интерфейс используется?

да

ethtool eth3

Settings for eth3:
 Supported ports: [ FIBRE ]
 Supported link modes:   10000baseT/Full
 Supported pause frame use: Symmetric
 Supports auto-negotiation: No
 Advertised link modes:  10000baseT/Full
 Advertised pause frame use: Symmetric
 Advertised auto-negotiation: No
 Speed: 10000Mb/s
 Duplex: Full
 Port: Direct Attach Copper
 PHYAD: 0
 Transceiver: external
 Auto-negotiation: off
 Supports Wake-on: d
 Wake-on: d
 Current message level: 0x00000007 (7)
            drv probe link
 Link detected: yes

Тут все норм. В dmesg есть что то интересное?

Может conntrack

кстати да. Это я ещё не смотрел.

Изучу логи отпишусь.

Есть вот такие записи, но, вроде бы, в них нет ничего подозрительного.

ul 22 05:59:23 ipoe2 kernel: [  191.836624] nf_conntrack: automatic helper assignment is deprecated and it will be removed soon. Use the iptables CT target to attach helpers instead.
Jul 22 06:03:21 ipoe2 kernel: [    3.373405] nf_conntrack version 0.5.0 (1193572 buckets, 9548576 max)
Jul 22 06:03:21 ipoe2 kernel: [    3.373457] nf_conntrack: falling back to vmalloc.
Jul 22 06:03:21 ipoe2 kernel: [    3.382637] nf_conntrack: falling back to vmalloc.

А шейпер какой htb?

tc class show dev ipoe1786
class htb 1:1 root leaf 2: prio 0 rate 5Mbit ceil 5Mbit burst 62500b cburst 1375000b