Bloqueio de usuários espertos

Preciso bloquear de alguma forma usuários que coloquem seus IP's manualmente, ou seja, se o usuário não pegar no DHCP bloquea qualquer trafego de pacotes vindo da maquina dele.

Existe alguma coisa no cabeçalho do protocolo IP que indique que o IP de origem foi recebido via DHCP?

usa o mac-address

iptables -A INPUT/FORWARD -m mac --mac-source 00:00:00:00:00:00 -j DROP

por exemplo.....

A dica acima funciona, porém fica meio lento...
Sugiro seguinte:
Coloca no dhcp o ip amarrado com o mac e no squid vc cria regras com os ips permitidos e os macs tb permitidos...
Aí o cara se lasca!

Concordo com o exercitobr: lento e de difícil manutenção.

Não existe NADA no cabeçalho IP que indique que ele foi obtido por DHCP!

Não sei exatamente como é tua rede, mas vou contar o que eu faço na minha universidade.

Máquinas CONHECIDAS, de laboratório, tenho os seus MACS coletados e entrada fixa no dhcp (sempre pegam o mesmo IP). Para evitar que algum esperto atribua um destes IPS, faço ARP estático deles:

arp -s 192.168.1.3 20:30:40:40:20:10

Somente o mac acima pode usar o ip 192.168.1.3. Isto chega até a ser mais rápido, pois o roteador não fará ARP para este IP (é estático).