В компании майкрософт это работало на рабочих станциях сотрудников. Впн клиент мог не посылать медиа трафик в туннель. Думаю так понятно. А вы под «невозможно на сетевом уровне» что имеете в виду ?
И кстати, откуда сведения, что в MS это работает так, а не иначе? Бывший коллега? )