Разрешить выход в интернет только с выданных dhcp сервером адресов

[sov1et]

Собстенно сабж: Необходимо разрешить выход в интернет только с выданных dhcp сервером адресов. Интернет через нат. Необходимо каким-то образом проверять выдан ли ip адресс dhcp сревером или прописан вручную. Есть какие нибудь идеи?

[jov]

Как вариант: настроить привязку mac-ip для dhcp-сервера, а на шлюзе фильтровать при помощи
iptables -s ip_by_dhcp --mac-source ! mac_by_dhcp -j DROP

[sov1et]

Как вариант: настроить привязку mac-ip для dhcp-сервера, а на шлюзе фильтровать при помощи
iptables -s ip_by_dhcp --mac-source ! mac_by_dhcp -j DROP

Хотелось бы чего-нибудь прозрачного. И как по мне не совсем правильный подход, т.к. сильно нагромаждает правила фаервола.

[jov]

Ещё один вариант: написать скприптик, запускаемы cron'ом, который парсит dhcpd.leases и обновляет ipset-набор, затем
iptables --set ! dhcp_hosts -j DROP
Вроде элегантнее получилось

[sash-kan]

Ещё один вариант: написать скприптик

в таком случае уж лучше воспользоваться возможностями dhcpd исполнять внешние скриты: google://dhcpd+execute
в частности потому, что файл leases не всегда содержит актуальную информацию.