🚀 go-pugleaf

Witam,
tak od niedawana zaczalem swoja przygode z Linuxem i... wciagnelo mnie 
na dobre :) Tak z ciekawosci, a i przy okazji z potrzeby. Pedem 
zainstalowalem pingwina, ustawilem serwer DHCP i mam troszke pytan.
W DHCP przydzielam adres IP dla uzytkownikow sieci wg. adresu MAC (jest 
ich ok 70-ciu).

# konfiguracja serwera DHCP
subnet 192.168.1.0 netmask 255.255.255.0 {
   range 192.168.1.1 192.168.1.99;
   option domain-name-servers 194.204.152.34, 194.204.159.1;
   option domain-name "tm.net.my";
   option routers 192.168.1.1;
   option broadcast-address 192.168.1.255;
   default-lease-time 86400;
   max-lease-time 86400;
   }
# komp1
host komp1 {
         fixed-address 192.168.1.5;
         hardware ethernet 00:aa:bb:cc:dd:ee;
         }

Teraz chcialbym filtrowac ruch wg. adresow MAC. Jak zaczalem sie 
rozpisywac (kazdy user ma forwardowane oddzielnie porty dla 
poszczegolnych uslug), to plik firewalla mi puchnie. Nie mam 
pogrupowanych adresow/userow. Jak moge to jakos uproscic (moze jakies 
petle?):

iptables -A FORWARD -m mac --mac-source 00:aa:bb:cc:dd:ee -p tcp --dport 
80 -j
...
iptables -A FORWARD -m mac --mac-source 00:aa:bb:cc:dd:ee -p tcp --dport 
3389 -j

Chcialbym, o ile to mozliwe miec kontorle nad tym, na co komu zezwalam. 
Googlam od kilku dni, szkoda mi na to czasu. Jest masa przykladow, 
stracilem duzo czasu na testowanie roznych rozwiazan, wiec 'siegam' po 
ostatecznosc, jakim jest grupa (jestem ambitny, zwykle chce robic 
wszystko sam).
Jezeli kazdemu hostowi/adresowi przypisze taka dluga liste portow, to 
czy to nie zwolni mi kompa filtrujacego ruch?
Co bedzie jesli do sieci podlaczy sie user, ktorego MAC'a nie bede mial 
wpisanego w DHCP? Co bedzie jesli taki user recznie wpisze sobie 
ustawienia sieci? Bedzie mial dostep do net'u itp? A jak user sklonuje 
sobie MAC... nie chce myslec :(

Ufff... ale sie rozpisalem...

pozdrawiam, Xyfka.