[cameron]

FWC удалите.
и поставьте правило nodomain над любыми другими в которых есть явное указание пользотелей или групп.

[IksSafonsky]

cameron, правило, конечно, стоит выше всех с явно указанными пользователями. Без FWC он может, конечно, выбраться во внешний мир, но только если адрес ISA-сервера указан на нём как шлюз по умолчанию. Если нет - он просто не догадается, куда обращаться. Проблема в том, что в нашей сети ISA-сервер не является шлюзом по умолчанию, потому что она состоит из нескольких подсетей, и маршрутизирует их роутер CISCO, а не машина с ISA-сервером.
Нетрудно было бы руками прописать на ноутбуке ISA-сервер шлюзом по умолчанию; но задача в том, чтобы пользователю ни дома, ни на работе не приходилось ничего самому прописывать (в компьютерах он категорически не спец). Так что единственный вариант - DHCP, а оно выдаёт шлюзом по умолчанию адрес циски, а не исы.
...В конце концов решил принять половинчатое решение: прописать нужный адрес шлюза (и DNS-сервера Интернета, а не внутренней нашей сети) в настройках сервера DHCP индивидуально для резервации IP-адреса этого ноутбука. Ну не сможет он, будучи на работе, попасть в подсеть бухгалтерии - но ему это, надеюсь, и не надо.
Но всё-таки вопрос решённым не считаю. Вдруг кто-нибудь знает, как достичь полного решения, т. е. и в Интернет машину пустить, и внутренние подсети оставить ей доступными?

[cameron]

единственный вариант - DHCP, а оно выдаёт шлюзом по умолчанию адрес циски, а не исы. »

и тут то на помощь приходит резервирование.

Проблема в том, что в нашей сети ISA-сервер не является шлюзом по умолчанию, потому что она состоит из нескольких подсетей, и маршрутизирует их роутер CISCO, а не машина с ISA-сервером. »

и это тоже не проблема - PBR.
если уж кошка не может сделать source NAT для этого IP.

...В конце концов решил принять половинчатое решение: прописать нужный адрес шлюза (и DNS-сервера Интернета, а не внутренней нашей сети) в настройках сервера DHCP индивидуально для резервации IP-адреса этого ноутбука. Ну не сможет он, будучи на работе, попасть в подсеть бухгалтерии - но ему это, надеюсь, и не надо. »

есть вoлшебные опции DHCP - 249 для старичков и 121 для молодых.