В догонку.
Всё это ОПРОБОВАНО у меня в сети. Всё это делается средствами SQUID-а, раз он тебе так дорог. Ни один пользователь в моей сетке НЕ СМОЖЕТ зайти с другого компа под СВОИМ даже логином, а любое ихменение аппаратного адреса сразу будет отмечено arpwatch и послано сообщение мне в почтуовый ящик. Можно на основании этих изменений написать скрипт или демон, который будет банить проштрафившийся адрес.
Удачного дня.