テザリングの通信を区別する仕組み

>>20 ばななめろんさん
コメントありがとうございます。

TTLのデフォルト値ですが、Windowsは、128、Linux,MacOS,Androidなどは、64、ルータなどの機器は、255が多いということは知っています。
ルータなどのネットワーク機器を経由するたびに-1していくというルールはありますが、送信元のTTLをデフォルト値から変更するのは、仕様の違反でもないし、パケット詐称でもないのではないでしょうか？
あと、この質問ですが、詐称されたパケットを許可する、遮断するという話ではなくて、テザリングかどうかをどのように区別しているかの話になります。

例えば、キャリア側で、TTLが64のパケットは端末からの直接のパケット、64以外はテザリングのパケットと区別しているとしたら、WindowsのTTLを65に設定して、Wifiテザリング経由で通信すれば、端末からキャリアに行くパケットは、TTLが64となり、テザリング経由のパケットとくべつできなくなります。また、MacOSで、USBテザリングで通信した場合には、発信元はTTL64のパケットが行くはずなので、こちらもテザリングかどうかの区別が付きません。

MACアドレスですが、イーサネットにおいて、最初の3オクテットがベンダーID部ということは知っていますが、テザリングかどうかの区別をするのにどのように利用しているとお考えでしょうか？
テザリングで通信している場合は、端末経由で通信が行われるので、キャリア網には端末のMACアドレスで通信していると思われます。
例えば、非キャリア端末やモバイルルータにSIMを指して通信したら、非キャリア端末やモバイルルータのMACアドレスが使われると思いますが、その場合キャリアのスマホではないから、テザリング通信という判定がされるということでしょうか？

「L2レベルでピアリング」とありますが、通常のインターネット宛のデータ通信では、端末にIPアドレスが振られて通信するので、テザリングの有無でL2レベルでの通信に違いはないと思われます。テザリングでの通信において、「L2レベルでピアリング」の通信がどのような影響があるのか（どのようにしたら区別がつけられるのか）教えていただければ幸いです。

本来接続されるはずであろう機器同士の接続（souce/destination)を見るということですが、テザリングしているかどうかに関わらず、souceのIPアドレスは端末のアドレスであるという認識ですが違うのでしょうか？

結局不正な通信をしているかどうかの区別ではなく、テザリング通信かどうかをどのように区別しているかということを知りたいのです。