PPPOE x NAT (permitir navegação apenas pelo PPPoE)

Bom dia amigos,

Bem estou montando um blog para contar a todas a minha experiência em fazer um ponto a ponto de 88 km usando LU que foi realizado com sucesso! No entanto estou tendo alguns problemas de configuração.

O problema é o seguinte:

No momento uso 100% dos meus clientes com PPPoE, até ai tudo bem, uso uma rede para clientes do tipo:

192.168.0.0/16 ou seja que me dá os seguintes ips: 192.168.0.1 - 192.168.254.254 (este último que é o meu gateway da interface do PPPoE)

No meu nat eu uso 192.168.10.0/24 que é o range que distribudo dinamicamente para os clientes sem ip amarrado ao MAC.

o que estou querendo:

1) não permitir que os ips 192.168.0.0/16 sejam colocados nas placas dos clientes e eles tenham acesso a internet, hoje esta assim, se o cliente coloca o ip, a mask, o gtw e os dns ele navega sem problema e sem controle de banda nenhum.

2) poderia usar um drop da interface de saída, mas isso me causaria um problema sério pq eu preciso liberar alguns ips para essa finalidade, poderiam os amigos me elucidar com isso:

a) regra para bloquear a conexão geral não pppoe das interfaces
b) regra para desbloquear um determinado ip dessa regra

Grato1

cria uma bridge e coloca suas interfaces
/interface bridge filter
chain=input in-interface=sua_interface_real src-address=ip_liberado action=accept
chain=input in-interface=sua_interface mac-protocol=0x8863 action=accept
chain=input in-interface=sua_interface mac-protocol=0x8864 action=accept
chain=input in-interface=sua_interface action=drop

onde esta sua interface eh sua interface real....nao a bridge...
a primeira regra coloca qtas vezes quiser liberando os ips q vc queira...
as outras regras so deixam passar pppoe...