Нужно разделить компы на 2 группы: 1) доступна только локалка 2) есть и интернет и локалка. Как?
Простейший способ (без внесения изменений в логическую схему сети) - firewall на выходе с фильтрацией трафика неугодных.
Присоединяюсь к  Алексей POS_troi  - проще всего фильтровать на выходе в Инет.
Дальше зависит от реализации выхода в Инет - или белые (черные) списки MAC адресов на роутере, или авторизация на прокси по пользователям. 
Чтобы еще что-то сказать - нужны подробности.