Filtrando pacotes em camada 2 (MAC) em um access point/switch com ebtables
Se um dos seus dispositivos de camada 2 rodam Linux, como é o caso de Access Points rodando OpenWRT, DD-WRT ou servidores Linux você pode usar um software sensacional chamado ebtables.
Diferente do iptables, o ebtables filtra pacotes a nivel de endereço MAC.
Aqui vai um interessantíssimo exemplo de um cara configurando ebtables para impedir que clientes conectados via captive portal comuniquem-se um com os outros:
https://forum.netgate.com/topic/84451/captive-portal-client-isolation/2