Если загрузка через веб, значит по http/https протоколу грузилось, не по sip :). На то это и малый бизнес. У вас 5-10 телефонов и вы спокойно их обновляете. А телефоны другого уровня строго по tftp, по скольку предполагается, что их сотни и тысячи. И никому, даже в самом страшном кошмаре не привидится весь этот парк обновлять руками.
А если не секрет, откуда такая задача? Ведь если дело в безопасности, то можно открыть доступ к определенному серверу и по определенному порту только определенным IP/MAC и голову себе не морочить. В конце концов, взять первые три байта MACа - это код конкретного вендора, и добавить в разрешения маской. Или проблема в другом?