ограничение доступа в интернет для домена/поддомена

собссна, ситуация: имеется одноранговая сетка на несколько кабинетов, и сервак - windows 2003 R2, на котором создан домен. задача: нужно каким-то образом ограничить доступ в интернет (не затрагивая локальные ресурсы) . желательно это делать условно говоря "одной кнопкой". причем, фильтрация либо по поддоменам/группам (для каждого кабинета) или же по адресам/именам. каким образом это можно реализовать?