Os endereços MAC são puramente um fenômeno Camada OSI 2 . Quando um pacote passa por um roteador, as informações de endereço MAC da máquina de origem não estão mais disponíveis.
Assim como a pessoa acima comentou, se você está oferecendo apenas este serviço para usuários internos, e esses usuários, bem como o próprio serviço, estão todos na mesma rede da Camada 2, isso pode ser possível. Isso parece altamente improvável, no entanto. Por outro lado, se seus usuários estiverem espalhados pela Internet, você precisará usar algum outro esquema de limitação de taxa (IP, chave de API, etc.).