bloqueio de rede

e ai galera blz, seguinte, tava matutando aqui e vi um pro aqui na minha rede, gostaria da ajuda dos amigos para resoolver.
imagine comigo a seguinte rede:
ips: 192.168.1.1 a 192.168.1.7 -
classe: 255.255.255.248
gateway:192.168.1.1
rede do cliente: 192.168.1.2 a 192.168.1.4
fica sobrando o 192.168.1.5 e 192.168.1.6
bom, se eu fizer a seguinte linha de comando:
iptables -t nat -A PREROUTING -m mac --mac-source $mac -j ACCEPT
o mac do cliente fica cadastrado e ele tem acesso a net, só q os ips não ficam bloqueados para aquela respectiva maquina, ou seja, se um gaiato souber os ips ele pode configurar a maquina dele e acessar a REDE, digo a REDE e nao a net, o q eu to falando aqui é referente a invasão da rede, hoje eu uso esta linha de comando assima e uso o "arp -f /etc/ether" para q o ip e o mac fiquem cadastrados na mesma maquina, quero saber se existe outro modo de fazer isso no iptables, sem precisar usar o arp, pelo arp tive bons resultados, hoje se um cliente mudar o ip dele ele naum acessa a rede nem a net, MAS EXISTE UM MODO MAIS PRATICO PARA ISSO NO IPTABLES?
espero ter mostrado algum problema q os colegas tenham mas naum sabem e q colegas ja tiveram e resolveram. :)
lembarndo q aqui eu naum to com problemas com isso o q eu to querendo é arranjar um modo mais facil de fazer este bloqueio, desde ja agradeço a ajuda dos colagas, abaixo segue o modo como é feito o bloqueio aqui da rede.
no firewall
iptables -t nat -A PREROUTING -m mac --mac-source $mac -j ACCEPT
no ETHERS
192.168.1.2 00:E2:CD:D4:B6:5F
192.168.1.3 00:E2:CD:E5:B6:5G
192.168.1.4 00:E2:CD:F6:B6:5H
192.168.1.5 00:00:00:00:00:AB # Ips q naum são usados
192.168.1.6 00:00:00:00:00:AB # Ips q naum são usados