[PLAstic]

Однозначно, ставить хотя бы простенький роутер между классом учеников и остальной сетью. Настраиваем, что ничего из класса в остальную сеть передавать нельзя. Наоборот можно.
Создаёшь домен. Там ограничиваешь вход конкретных учёток на конкретные компы. Можешь даже сделать автологон при включении, чтоб они и паролей не знали, и чтоб не экспериментировали с их подбором.
На локальных админов ставишь пароли. Сложные. Уникальные для каждого компа!
Все ученические учётные записи (УЗ) делаешь локальными гостями на рабочих станциях. В крайнем случае пользователями.
В групповой политике обрезаешь всё по методике "если это не надо для образовательных целей - дизаблим". Например, пропишет себе кто-нибудь IP-адрес сервера и ищи потом затейника по маку.
USB отключаешь в биосе и ставишь на него пароль. Под наблюдением ученикам будет сложно разобрать системник и сбросить батарейку.
Сидюки я бы тоже отключил, ибо нефиг. На учительской машине будет и хватит.
Инет, если нужен, то открывается только до нужных сайтов.

Надо ещё подумать, но пока хватит.