Hola klausneil:
para hacer lo que quieres, necesitarás diseñar lo siguiente:
Servidor DHCP: asignacion de IP's fijas basado en MAC
Objetos de red: Crear un grupo con las IP's (ergo MACS, debido a la configuracion anterior) vetadas y otro con las permitidas
Firewall: Denegar el acceso desde redes internas hacia internet al grupo vetado y permitir al permitido.
Ya nos dirás como te ha ido.
Un saludo!