Защита OVPN от клиентов

[freeddos]

Здравствуйте.
Есть такая схема:
Клиент подключается к OVPN на Mikrotik, авторизация проходит через RADIUS а адрес получает из пула на Mikrotik.
(а какой пул получит клиент определяет RADIUS сервер).
Такая схема работает. Клиент подключается получает адрес, по нужным маршрутам попадает во внутреннюю сеть (ограничение маршрутизацией).

Есть несколько типов клиентов (каждый тип клиентов получают свой пул адресов) маршрутизацией есть доступ в разные подсети.

И тут у меня разыгралась паранойя. Клиент подключается получает адрес из ограниченной подсети. А потом в него вселяется "хакер", он берет и меняет адрес интерфейса на ip из подсети которая имеет в более обширные дали сети.

И каким образом ограничить доступ клиентам? так чтобы из RADIUS они получили пул адресов (или mikrotik следил за соотношением клиентов и положенным им пулов адресов).

[Sertik]

Бред какой-то. В кого у Вас там кто "вселяется" ? Теоретически можно что угодно напридумать, но это уже паранойя