После ночи размышлений прихожу к другому варианту, взамен связок MAC-IP:

1. Включить DHCP RELAY, релеить запросы в управляющую сеть с option 82
2. Включить DHCP LOCAL RELAY (у меня цепочки коммутаторов, броадкасты лишние подавить)
3. В IP-MAC Binding Table все удалить
4. В IP-MAC Binding Port все поотключать
5. Создать два ACL профиля, один разрешающий, за ним запрещающий
6. В запрещающем запретить на всех портах любые IP
7. В разрешающий наваливать разрешенные на каждый порт IP адреса (прямо из биллинга, скриптом)
8. Не забыть еще создать правило, разрешающее DHCP пакеты от адреса 0.0.0.0 (или подсмотреть правила, которые DHCP snooping создает, наклепать такие же руками)
9. В Port Security разрешить учить по 3-4 MAC адреса

Вроде все. Коммутатор отдыхает, его проц свободен, для клиента ничего настраивать не надо, рулить ACL могу из биллинга (ну чуток поднапрягшись на скрипты), проблем с DHCP уже не будет. Проблему вижу только одну - ARP. Например, клиент может поставить вручную адрес шлюза себе. Но ведь проблема эта и в случае dhcp snooping актуальна. Как тут правильно бороться? Ну ладно, шлюз я занесу в ARP Spoofing Prevention, а друг от друга как клиентов защитить?

Покритикуйте, а то щас пойду скрипт клепать для биллинга. Может я чего упустил из виду.

Проблему вижу только одну - ARP. Например, клиент может поставить вручную адрес шлюза себе. Но ведь проблема эта и в случае dhcp snooping актуальна. Как тут правильно бороться? Ну ладно, шлюз я занесу в ARP Spoofing Prevention, а друг от друга как клиентов защитить?

AC10E28 - IP адрес абонента - это как?