DAzgluk

На 65х Cisco есть замечательная штука — UBRL.
Делается policy-map с тарифами в качестве class-map и еще один class-map на Local трафик.
Ну а дальше — ACLем раскидываете какой IP в какой класс относится и вешаете police flow src-only/dest-only на класс.
Правда есть ограничение — не более 16 тарифов (32 полисера, нужно по 2 на каждый тариф).
А касаемо размера policy map, у нас животное нарезает тарифы ~ 3500 пользователей (7.000 ACL) показывает QOS_TCAM Used 35%

Если я все правильно понял:
1. Покупаете 5 портовый свич.
2. В первый порт втыкаете аплинк до провайдера
3. Во второй — четвертый порт втыкаете стационарники.
4. В пятый порт втыкаете роутер WAN портом.
В результате стационарники и роутер у вас в провайдерской сети, клиенты за роутером — за NATом. Никаких проблем с Multicast на стациноарниках. Если он нужен и за роутером, то рекомендую смотреть в сторону пакета udpxy либо на роутере, либо на любом ПК

P.S. Интересный у вас провайдер :)

Мне кажется, для ваших задач лучше всетки использовать 2 сервера.

1. Контроллер домена (Win 2003) Сообственно сам контроллер домена, DNS, файлопомойку делаете стандартными средствами, квоты тоже настраиваются средствами винды, каждому пользователю скрпитом монтировать общую папку вида \\server\login\

> Посложнее: Плавающие профили, это позволит пользователями видеть «свой» рабочий стол на любом компьютере, но насчет квот сложнее…

2. Ограничение доступа, прокси (Linux/FreeBSD)
Тут вопрос в том, нужен ли вам контроль/учет траффика, если нет, то просто squid в прозрачном режиме, если да, то опять же squid, но непрозрачный и выбор аутентификации по IP/ по NTLM логину.

>Посложнее: Как вариант Squid+SAMS с аутентификацией по NTLM, ну или любая другая считалка траффа.

>Попроще: Если стоит задача лишь закрыть доступ к определенным сайтам, возможно стоит подумать об OpenDNS сервисе, ну или на DNS сервере винды, закрыть нужные домены.

P.S. Файлопомойку можно поднять и на линуксе, а винду оставить чисто контроллером домена. Под проксю подойдет любой системник, под винду лучше бы двухядерный.
P.P.S Конечно можно обойтись и одним сервером, используя виртуализацию, ну или поднять squid/kerio под виндой, но лучше всетки 2 сервера…

Начните диагностику с L1
1. На свичах лампочки загораются когда длинный провод втыкаете? (Вы сказали, кабель длинный, возможно PALM просто менее дальнобойный чем сетевущка компов)
2. Возможно на PALM убитый порт, попробуйте другой.
3. Как сказал g0dlike, попробуйте поменять свичи местами

Идеология сети в любом случае правильная.

OpenVPN
ru.wikipedia.org/wiki/Openvpn
на сервере ставите сервер, на локальной машинке клиент, получаете туннель, ну а что дальше с ним делать (натить непосредственно на сервере или роутить дальше) решать вам.
Удачи