Redes - TCP/IP y Linux

El problema que tengo es que necesito identificar el trafico HTTP en el puerto 80 segun su tipo mime para encolarlo con tc, uso iproute2 y tengo mi kernel compilado para soportar el clasificador u32 pero el problema es que no se en que parte del paquete TCP buscar esta informacion, en la cabecera principal del paquete no, asi es que no se si haya una cabecera HTTP encapsulada en TCP y si es asi en que byte o bytes puedo encontrar el tipo mime y si no es mucha molestia tambien sus equivalente hexadecimales ;-),
Gracias y hojala alguien me pueda ayudar.