La chicha para controlar clientes la da esta parte del archivo de configuración:
# Parameter: MaxClients
# Default: 20
#
# Set MaxClients to the maximum number of users allowed to
# connect at any time. (Does not include users on the TrustedMACList,
# who do not authenticate.)
#
# MaxClients 20
# ClientIdleTimeout
# Parameter: ClientIdleTimeout
# Default: 10
#
# Set ClientIdleTimeout to the desired of number of minutes
# of inactivity before a user is automatically 'deauthenticated'.
#
# ClientIdleTimeout 10
# Parameter: ClientForceTimeout
# Default: 360
#
# Set ClientForceTimeout to the desired number of minutes before
# a user is automatically 'deauthenticated', whether active or not
#
# ClientForceTimeout 360
Y el acceso al router y sus puertos, habilitar clientes de "confianza" a conexiones infinitas y demás:
FirewallRuleSet users-to-router {
# Nodogsplash automatically allows tcp to GatewayPort,
# at GatewayAddress, to serve the splash page.
# However you may want to open up other ports, e.g.
# 53 for DNS and 67 for DHCP if the router itself is
# providing these services.
FirewallRule allow udp port 53
FirewallRule allow tcp port 53
FirewallRule allow udp port 67
# You may want to allow ssh, http, and https to the router
# for administration from the GatewayInterface. If not,
# comment these out.
FirewallRule allow tcp port 22
FirewallRule allow tcp port 23
FirewallRule allow tcp port 80
FirewallRule allow tcp port 443
}
# end FirewallRuleSet users-to-router
Además como da libertad para crear el splash de login, se puede aprovechar para poner un anuncio o explicar a los clientes que la wifi, como la tapa, es un don, no una obligación.
#6 En ese hipotético bar, bastaría con arrancar el airodump, buscar que mac están asociadas al router, y suplantarlas con macspoof.
Y si, ese sencillo filtro quitaría de en medio al 99% de los gorrones, pero hoy no hay medio infalible para administrar wifi por minutos.
El método que enlaza #23 es mucho más fiable (en mi caso openwrt y wifidog). Soy partidario de filtrar todos los puertos excepto 80 y 443, con lo que ofreces navegacion web y poco más. Además establecer un límite de Mb diarios por cliente y una velocidad limitada por cliente (200Kb está bien) . Con esto te quitas emules, bittorrents, vpn y demás usos indebidos.
#23 Los routers wifi Unifi, de Ubuquiti, tienen un sistema en el que activas puedes activar tickets de X tiempo para una red de invitados, pensados para ese aspecto.
El sistema de tickets no lo he probado, pero en general los routers unifi son baratos y funcionan estupendamente
#44 mahuer 
