>>355
ポート番号を変えられるようなものなら、IPv4 アドレスが共有でも問題ない。

L2TP/IPsec 自身で変えられなくても、別途 NAPT を噛ますなど変える手段はある。
でも GRE などそもそもポート番号などないものは変えようもないし、可能ではあるけど運用上無理があるものとかもあるから、
>>353 では「選べばいい」と「変えられないと厳しい」を両方書いた。何でもできるとは言っていない。

>>357
「完全遮断」というのが、どこまで完全にしたいのか次第じゃないかな。
本当に完全に遮断したいなら、完全に孤立した LAN にする。
IPv4 アドレスでの拒否だと、IPv4 アドレスを変更すると繋がってしまうがそれでいいのか？
MAC アドレスでフィルタ設定できるルーターあるいはファイアウォールなどを入れるというのはどう？