Bloco de IPs sem acesso à internet

Olá!!
Gostaria de uma ajuda de vocês numa situação que queria aplicar em minha rede interna da empresa.
Possuo computadores em WinXP e eles estão sendo utilizados como terminais para acesso ao servidor da empresa. Para tanto estas maquinas tem o WinXP básico, limpo, sem antivirus, firewall e outros softwares de segurança.
Minha rede possui como roteador uma rb433ah com cartão xr2.
Gostaria de saber como faço para limitar uma faixa de ip (por exemplo: 192.168.2.100 à 192.168.2.150) para que estes ips não tenham acesso à internet, somente à intranet visando acessar apenas o servidor via terminal service (mstsc), visando assim evitar que os funcionários acessem a internet pelos WinXP e lotem as máquinas de vírus e tudo mais.....
Seria possível esta solução?? Ou existe solução melhor para o meu caso??
Desde já grato pela atenção dispensada.

O ideal seria vc instalar um server somente para internet,assim vc teria relatórios de acesso por usuário e tudo mais.
Porém caso queira somente usar a rb como server vc pode simplesmente ativar um hotspot,crie os usuários e pronto.

Bom dia,

Criei uma address-list com os IPs/Redes que NÃO devem acessar à internet. Em sua regra de NAT, utilize o parâmetro=!dst-address-list=NOME_DA_ADDRESS_LIST.

Desde modo, apenas os IPS que NÃO estão na lista, terão acesso à internet.Abraço