как запретить выход на внешку?

[TankJuniour]

Если внешка железно не нужна, то целесообразно настроить IP фильтр в самом модеме, сделав его роутером. Я не знаю, умеют ли это дешевые модемы - подарки от ВТ, но покупные D-link и Acorp это умеют. Там есть раздел IP filtering (как правило в дополнительных настройках) и туда можно вписывать разрешенные IP адреса. Использовать софт на компе я бы не советовал, потому что алгоритм его работы не совсем прозрачен, вирусы могут этот софт обходить. Разделение прав доступа на уровне процессов тоже недостаточно, потому что в винде куча сервисов сидит внутри одного процесса svchost.exe и другая куча всякой бяки - под процессом explorer.exe.

Но если другого выхода нет, то в виндах есть такая фигня как политика безопасности IP. Это не тоже самое, что файрвол. Файрвол появился только в WinXP, в то время как политика безопасности IP имеется и в win2000. Функций там немного, но она позволяет тупо резать доступ к определенным IP, портам и протоколам. Есть также выбор области действия: либо для всего траффика, либо только для DialUP.