[exo]

1) VLAN

2) можно использовать прокси сервера

3) и ещё можно через один DHCP сервер раздавать разные настройки разным classid. (у сети без интернета можно не указывать шлюз). Но в этом случае нужно политиками скрыть вкладку "подключения" в свойствах сетевой карты. и пользователи не должны иметь прав локадминов.

[El Scorpio]

Скажу так, если начальство параноидально до невменяемости, то только прокладкой нескольких физически разных сетей (не исключено ещё что и коммутируемых в разных шкафах).

Всё остальное решается разграничением прав доступа на прокси-сервере. Можно по имени пользователя (в т.ч. с авторизацией через домен), можно по IP/MAC компьютера.
Также можно конкретным пользователям прописывать параметры прокси-сервера для IE через групповые политики.

P.S.
Если госструктура, то для подключения сети к интернетам можно использовать специальный аттестованный маршрутизатор типа Континент или Дионис. Правда стоят они чуть меньше, чем дохрена.