реализация биллинга - блокировка пользователей

Обычно это делается по имени пользователя.

в смысле на уровне доступа пользователей к впн / pppoe или еше че там может быть?

я бы написал демона, который выполнялся бы на роутере и, общаясь с ядром биллинга, рисовал бы правила для брандмауера(ну или грузил бы в кошку access листы по tftp)

вобще, конечно вопрос гиниальный, мы все конечно знаем структуру твоего биллинга, функционал, который он поддерживает, количество пользователей в сети и т.д.

Вариантов море, можно извратиться как душе угодно:
Если у тебя обычный роутер, без ВПН и т.п.
1. Отрубать на фаерволе (если много пользователей (правил в фаере), то процесс применения правил может затянуться, если это делается автоматом, то пойдет, а если у тя на билинге есть кнопочка вырубить инет и пользователи будут ее нажимать раз в 3 секунды, то не пойдет.)
2. Если ты ограничиваешь трафик на юзерей, то поставь скорость им в 1кбит (мой выбор + 3п. на 80 порт.)
3. Делай редирект портов на свой веб сервер, на котором повесь страничку со словами: "Пошел ты и заплатил за инет, тебя отрубили."
и т.д.

А не проще автоматом переконфижить по SNMP порт свитча в который юзер включен ? Зашатдаунить вообще, или пересунуть его в другой вилан ?