500Т сам поднимает PPPoE сессию, плюс пропускает через себя PPPoE в режиме бриджа. Какие правила нужно написать, чтобы оставить роутеру возможность поднимать сессию и одновременно блокировать прохождение через него всех PPPoE сессий, кроме сессий с определенных MAC-адресов.

Используется несколько PVC? В одном PPPoE-соединение, другой(другие) - bridge. Я правильно Вас понял?
В Bridge Filters модемов T-серии глобальной политики разрешения/запрещения нет (как это реализовано в U-серии). Т.е. Вы можете указать только блокируемые MAC-адреса.

Насколько я понимаю, нет. PVC на модеме не настраиваются, просто включен режим PPPoE на WAN, там же PPPoE Pass Through Enabled