[astyle]

- Все пользователи имели выход в инет:
или аппаратно или программно. Я не знаю что у тя за маршрутизатор, знаю про D-Link 804 - настроил на Wan подключение к интернет, а для твоей локалке он как шлюз. Кому надо прописал шлюз нужный, да и в нем самом настроек полно. Можно программно, но это прокси сервер надо ставить - кучу настроик можно прописать, пользователей можносоздавать,статистику составлять - вообщем по сравнению с 804 даст полный контроль происходящего.
- Можно ли пользователям ВООБЩЕ запретить выход в сеть с терминального сервера?
можно, предлагаю включить фильтр IP (свойства сетевых подключений - свойства tcp-ip - дополнительно - фильтрация свойство) ставим галочку и прописываем только параметр только TCP порты и добавляем порт 3389 - подключение удаленного рабочего стола.
- Ничего нельзя было вынести из терминального сервера за пределы офиса.
Надо в политиках безопасности рыскать. Можно ограничеться только оснаской настройки терминального сервера - там снять галки типа сопоставление принтеров, буферов обмена, и т.д.

На своем опыте - как что не придумывай, а ЛОГИ надо вести всего!