Roteadores não autorizados

[adriano.reis]

Pessoa boa noite!
Gostaria de uma ajuda aqui.
Utilizo o pfsense funcionando muito bem em uma Lan de cerca de 1500 pontos de acesso distribuído entre diversos switchs, com dhcp liberado para faixa 10.10.0.1/21 (range dhcp de~= 2000 hosts). Com tudo alguns espertalhões trazem seus próprios roteadores e plugam na rede, compartilhando internet e arquivos internos com quem quiser. Já pegamos alguns roteadores bloqueamos os Macs destes, conversamos com os responsáveis, mas sempre aparece outro roteador ou clonam o Mac da máquina para o roteador.
Gostaria de alguma maneira de bloquear esse roteamento ou NAT feito por esses dispositivos.

Meu problema nem é tanto quando plugam na porta Lan do roteador, que consigo bloquear, através do protocolo dhcp snooping dos switchs, a distribuição de ip por dhcp do roteador, mas o compartilhamento de internet mesmo.