Bloqueando quem não está liberado com IP/MAC

Olá Pessoal,

Quero agradecer desde já por qualquer ajuda oferecida.
Estou com a seguinte situação.
Tenho uma RB 750UP fazendo PPPoe com GVT e um Link da Claro de 7MB (3G) Espetado na porta USB (Modem).

Cada porta Eth da RB é uma rede diferente e todas elas se enxergam.

Na Eth1 = 10.1.1.x
Na Eth2 = 10.1.2.x
Na Eth3 = 10.1.3.x
Na Eth4 = 10.1.4.x

Onde na Eth1 são as máquinas da minha residência;
Na Eth2 são as máquinas que acessam minha internet (clientes) com banda dedicada e IP amarrado ao MAC;
Na Eth3 são as máquinas da minha empresa;
Na Eth4 são as máquinas que acessam pela rua (WiFi), onde ainda não configurei um HotSpot.


Possuo DHCP diferente para cada porta e gostaria de fazer com que, se aparecer uma maquina nova na rede da Eth2 e Eth4, não conseguir acessar a internet, a não ser que o IP/Mac dela esteja cadastrado.
Acredito que seja uma regra de bloqueio geral no firewall para todas as máquinas e liberando somente as "exceções" e é justamente isso que não sei fazer.

Nesse cenário, seria possível também criar um hotspot para a Eth4 (internet pública) limitando TODAS AS conexões a 256bks?

muito simples amigo basta vc ir na interface e mudar de enable para reply-onli como na imagem.
[Tens de ter uma conta e sessão iniciada para poderes visualizar este link]
espero ter ajudado.