[ss777]

Идешь в ГП там (по памяти) Конфигурация компьютера -> Административные шаблоны - > Сеть - > Сетевые подключения - > Брандмауэр Windows включаешь "Защита всех подключений" чтоб пользователи его не могли рубануть (не забудь и службу через политики настроить соответствующим образом) далее в комментариях к параметрам все написано.

P.S. Вобще нужно начинать с того, что права администратора должны быть только у администратора чтоб, юзеры твои не могли устанавливать те же чаты, игры или ещё чего там. К стати порты в сетевых чатах можно менять, будешь за каждым портом бегать?