> А как это ограничение реализуется?

Netmask.
> Антон Алексеевич, мне кажется это не достаточно безопасно.

И один раз появиться в Internet тоже опасно.
> Если известны mac'и всех участников сети, то безопасней было бы использование /etc/ethers.

Во-первых не всех. DHCP клиент только опрашивает Broadcast. После чего тот отдает не назначенный адрес.
> Всё таки нельзя забывать про arp-spoofing.

Я бы скорее беспокоился из-за наличия второго DHCP сервера в сети.
> Задача недостаточно интересная.

Скорее я неверно передал ограничивающие элементы
> Предлагаю добавить ограничение на запуск systemctl.
> Как быть тогда?
> Какие варианты остаются у нас?

Останутся те которые доступны, проблема в том разрешен запуск от имени root(UID=0) только одного приложения.
В запрете остается /sbin.
Разрешен только /bin/*, /etc/systemd/network/*.
Исполнение от user(UID=1000)
> Я в первую очередь, как не страдающий лунатизмом, от такой ситуации мгновенно проснусь и спрошу в ответ какого х#я меня разбудили таким глупым образом.

Ну, значит, вы всегда в своем уме. Это хорошо.