Я вижу примерно так...
1. Настроить экспорт из dhcp3-server в bind9 (легко ищется поиском).
2. На этот самый экспорт натравить скрипт, перестраивающий правила iptables по IP+MAC=allow, default=deny в отдельной цепочке (чтобы всю таблицу постоянно не гробить).