Построение VPN-сети

Вкрадце ситуация: есть 2 сети, хотим поднять сеть, так сказать для друзей, со всеми возможностями обычной сети, в том числе - с возможностью поделиться инетом.

Первая сеть - оттуда большинство пользователей.
Вторая сеть - продает инет первой сети, еще там мы (организаторы), имеем дешевый анлим, анлим установлен один на хату, в хате 4 железяки, самая слабая на роуте, в нее воткнут инет и хаб на остальные 3, работает через nat, так что эти железяки миру не доступны.

Есть 2 нефильтрованных порта для связи - ssh и еще один свободный. Сейчас на свободный отправили туннелем проксю, которая дает всем инет, доступ разграничили через iptables на компе нашего человека в первой сети, от такого надо отказываться как можно скорее, потому как по договору такое держать у себя нельзя. Задача - создать защищенную виртуальную сеть.

Что вкрадце нужно сделать:
1.) Юзер через vpn коннектится к одному из роутеров, в зависимости от того, в какой сети .
2.) Роутер смотрит мак.
3.) Смотрит базу. Если юзер из базы, то в зависимости от параметров открает ему какие-нить порты на каком-нить компе или выдает ему инет с некой скоростью которая тоже указана в базе, дает соответственно псевдо-статику. Если пришел гость, то права у него по минимому, и выдается адрес с другого диапазона.
4.) Внутренняя сеть, которая на хате открывается для всех.
5.) Всем открываются обе сети по полной программе.
6.) Роутеры перебивают ttl у всех пакетов.
7.) Трафик шифруется.

Подскажите что ставить и что читать, если не в падлу напишите пару комманд - скрипты сам придумаю, в сетях пионер, так что сильно прошу не бейте.