Как ограничить доступ к инету, если компа нет в DHCP Leases?
По первому и второму пункту:
Установить add-arp=yes на DHCP-Server. 
Установить arp-mode=reply-only на нужном интерфейсе.
На этом этапе роутер не будет писать в интерфейсе каждому маку автоматическую ARP-запись и человек с ручными настройками просто ничего не получит, потому что не сможет в layer 2. DHCP-Server, выдавая адреса будет добавлять записи в ARP list и эти пользователи смогут работать как и задумано. 
По третьему пункту нужно больше конкретики. Если интересует логин на устройство, то в System>Users есть поле Allowed Address, которое и позволяет ограничить вход на роутер определёнными адресами.
1) При таком раскладе у человека уже нет нет интернета. Его сеть 192.168.1.х отличается от твоей 192.168.88.х
2) Найти, бить по рукам, поднять домен, отобрать права админа у всех, поставть управляемые коммутаторы с IP-MAC-Port Binding 
3) Начать с книжек по сетям, пойти на какие нить обучающие курсы.