Запретить пользователям выход в интернет
 

Задача: запретить всем пользователям не-админам выход в интернет (w2008r2).

Понимаю тупизну вопроса, но поднял AD первый раз в жизни, а штатного админа в организации нет.

Я не админ, а внедренец, поэтому "читать мануалы" несколько дней(недель) - не вариант, просто надо, чтобы был домен,
с ним работает устанавливаемая мною прога, а юзерам запретить халявный интернет, чтобы всё не развалили до прихода в организацию штатного нормального админа ;)

AD не предназначен для этого. Для этого используются прокси-сервер
Хотя есть один вариант и с использованием AD + DHCP.
Через GPO скрываем настройки в сетевых подключениях.
Через GPO и скрипты назначаем Class-ID
В DHCP назначенному Class-ID указываем в качестве шлюза по умолчанию "неправильный" адрес.

Если что-то не понятно - поиск в помощь. Определения придётся почитать. Как и другие мануалы.

Или программы, аналогичные TMeter.