>Не знаю, ка кнасчет Линуха, я на FreeBSD заморозил все так:
>Включить фильтрацию по layer2 в ipfw
>sysctl -w net.link.ether.ipfw=1
>
>Запретить все для подсети
>ipfw add 62999 deny ip from 192.168.20.0/24 to any layer2 in via
>em1
>
>Разрешить для определенного IP с указанного MAC
>ipfw add 62073 allow ip from 192.168.20.73 to 192.168.0.0/16 MAC any 00:17:9a:6d:0e:94
>via em1
>
>ЗюЫipfw add 62073 allow ip from 192.168.20.73 to "table(1)" MAC any 00:17:9a:6d:0e:94
>via em1
>
>P.S. При net.link.ether.ipfw=1 пакет по правилам пробегает 2 раза, поэтому, если учет
>трафика решается средствами IPFW, используйте skipto:
>ipfw add 1 skipto 61000 ip from any to any layer2

em1 - это внутренний?