Как ограничить доступ сотрудника ко всем сайтам кроме двух трех

Active Directory, попробуй эту программу. В инете куча мануала по её настройке

Все зависит от того, какая у вас организация сети. Если через программный прокси, то тогда настройте правила с привязкой по IP. Если же простой бытовой роутер - бейте рублем.

Есть очень действенный способ - лишение премии.
Всё остальное не поможет, если этот "сотрудник" более менее опытный пользователь.

Если "чисто почта", то поставить почтовый клиент. На запуск браузеров наложить запрет (программный). Плюс, позакрывать в фаерволле все потры, кроме "почтовых".

Вам нужен ненавидящий вас работник?
Уберите браузеры, закройте установку прог для юзеров и настройте почтовые клиенты.

Чисто технически можно через любой фаервол.
С организационной точки зрения какие либо ограничения работника это полный идиотизм и требует замены руководителя.
Руководитель должен понимать следующее:
1. Ленивый работник не будет работать вне зависимости от наличия или отсутствия доступа к интернету.
2. Хороший работник имея доступ в инет будет работать еще лучше. В инете можно найти много полезного для работы, так же работник будет сам заинтересован сделать работу быстро и качественно, что бы было время побездельничать в инете
3. Возможно работа организована безграмотно и работник не может выполнять свою работу. В таком случае какие претензии к работнику

ты его ограничишь, он сам уволится, просто поверь.

Родительский контроль поставь, скажи, чтобы не сидела.