>>клиентский роутер и перепрописывает в ARP таблице mac клиента на левый
>>клиент отрубается тк мас не его. и все
>
>ну скока можно? - ИП и МАК НЕ МОГУТ однозначно определить клиента
>(кроме определенных случаев), поскольку и то и другое меняется в течении
>нескольких секунд со стороны клиента совершенно свободно.

А никто не задумывался что можно сделат IPsec и раздавать
сертификаты только определенным юзерам.

Или например написать небольшой демон,
чтобы висел и каждые 10 секунд "пинговал" сервер пакетами авторизации.
И если сервер не получил этого пакета несколько раз то firewallом
запретить доступ с ip адреса.