Я бы смотрел в сторону
DHCP_snooping +
Опция 82 DHCP + radius как прослойка между базой абонентов и dhcp. Так получаете полный контроль над всем оборудованием в сети, схема возможна только в полностью умной сети. Проще всего развернуть на базе какого-либо биллинга для ISP. Из плюсов вся техника маком привязана к порту коммутатора, в другом порту работать не будет, другой мак в этом порту работать не будет и т.п. индивидуальные ACL для любого устройства с централизованным управлением. Работает примерно так, первый раз устройство включается в сеть, получает специальный фейковый адрес с которого доступна только страница с авторизацией, вводит свой логин пароль, устройство записывается в учетку конкретного абонента и получает все его правила фильтрации и т.п. Минусы — дорого по железу. Обрисуйте полностью задачу, может устроит что попроще.