Есть ещё один вариант прикольный... как с торрентами в конторе делаем одной. По L7-регулярке, где-то на ютубе надыбанной, кто попался -- добавляется в адрес-лист и минут на 2-5 теряет ВЕСЬ Интернет.
Мы бы могли бы по сигнатурке (домен из запрещённых) включать клиенту DNS-спуфинг, не трогая им остальных (неРевизоров и ненаркоманов).