[Hemp]

1. Как ограничить штатными средствами ХР доступ к Интернету определённым пользователям -- не знаю,
т.к. не пользуюсь ХР по определению.

2. Внешними программами и какими? Поставь и настрой прокси-сервер.
В качестве прокси-сервера могу порекомендовать WinRoute Pro v.4.2.5.
Ссылка на WinRoute и на документацию на него, найдёшь здесь.

Раздай статические IP-адреса, можно будет отключить, тогда службу DHCP (прописать один раз 20 IP-адресов, не, так уж и сложно). В WinRoute есть пакетный фильтр, где, ты можешь установить, какие IP-адреса могут иметь доступ к твоему компьютеру, а, какие нет. Не будут иметь доступ к твоему компьютеру -- не будут иметь доступ в Инет. У пользователей операционная система W2k или ХР? Если, да, то, почему они имеют право изменять *IP-адрес? Запрети. Запрети возможность пользователям устанавливать программы, все дисководы и CD-Rom'ы, где они не нужны отключи (шлейф выдерни). Запрети доступ пользователей ко всему жёсткому диску, выдели папочку для их документиков, пусть пользуються (конечно, если NTFS разделы на диске), поставь на эту папку квоту. Ну, это, у меня мысли вслух пошли..., просто у меня пользователь свой IP-адрес не сможет поменять, ну и т.д.

[Artym]

Hemp
От WinRouta отказался давно

[Freeman Spb]

Поставь Usergate - прокси + биллинг = удобно. Проверено