Бан по маку не вариант. Любой, даже самый простой роутер может выставлять наружу любой мак, который вы укажите вручную. К тому же, если не ошибаюсь, маки хранятся в пакетах внутри подсети и теряются при выходе пакета за гейтвей (либо заменяются маком гейтвея).