зачем reject?
radius accept + заполнение атрибута Framed-Pool
если радиус вернет режект - то сессия не поднимится вообще и роутеры тебе будут логи забивать - ошибками режект пытаясь поднять коннект каждую секунду. потому правильней выдать просто ip из сети которая закрыта фаерволом, и завренута на заглушку