Bloquear assesso a sites da web

Tenho uma rede configurada da seguinte forma:Um roteador (modem velox roteado) que é responsável por DHCP, DNS, Firewall, etc..., ligado no switch (acho que é assim que se escreve) compartilhando os serviços citados acima e o acesso a internet para toda a rede. Um servidor de domínio e banco de dados rodando win 2000 server2 estações rodando win XP professional8 estações rodando win 98 SEDúvida:O servidor de domínio tem apenas três usuários: "aa", "jj" e "gg". Gostaria que, independente da máquina, quando eu logasse como "aa", meu acesso a internet se restringisse a apenas 2 sites (que eu determine o endereço) e quando eu logasse como qualquer outro usuário, meu acesso a internet fosse libarado por completo.Tenho como fazer o roteador direcionar a porta HTML (porta 80 se ñ me engano) para o IP que eu quiser (para o ip do meu servidor de domínio e bd por exemplo).Alguém sabe como fazer isso?Desde já eu agradeço.