[Greyman]

mar

Поэтому, скорее надо смотреть в сторону периодического (скрипт по крону) выявлению ip по заданеному списку и добавлению правил блокировки по выявленному ip на firewall-е (скажем, ipfw).

3) На IP-адресе блокируемого хоста могут также "висеть" хосты, доступ к которым блокировать не требуется

Кривовасто-с, ИМХО, получается...

что это за сеть (без подробностей: предприятие, провайдер, домашняя сеть и т.д.)

Предприятия. Корпоративная, территориально распредиленная, с объединенияем площадок через различные каналы связи, и единственным общим шлюзом в Интернет.

Может, можно вообще по-другому извернуться?

Может. Я основную задачу в первом посте приписал, а про DNS-это мой вариант, к-ый пришел в голову...

[mar]

давай по порядку:
1)

На IP-адресе блокируемого хоста могут также "висеть" хосты, доступ к которым блокировать не требуется

это, скорей всего только к www относится (и виртуаотным хостам на удаленной машине)? Весь HTTP-трафик можно пучтить в сад, то есть через прокси (причем при желании незаметно для пользователей)
2) какие еще порты нужны изнутри? (из тех, что могут быть задействованы на хостах в черном списке)?
3) какие вообще порты (на наружный трафик) разрешены пользователям? (Поскольку это предприятие - может быть какая-то политика?)