Ну во первых -нужно выучить мат часть и знать хотя бы бы то, что память любого маршрутизатора ограничена, второе - есть vpn, и с этим ничего не сделаете, вы не сможете внести все адреса хостов vpn, ибо они каждую секунду в мире по 1000 шт появляются, в третьих - для блокировки какого то определенного сегмента сети, предприятия необходим не маршрутизатор, а firewall, где как раз можно ограничить на какие ресурсы из какой подсети возможен доступ, а из какой нет, и так же блокировка приложений, какие можно запускать, а какие запрещены, но к этому необходимо покрутить женские правила централизованного домена, ибо если его нет, то смысл теряется. У Cisco по этому поводу есть отличный софт. Без всякого гемора. Но опять же, при желании все можно обойти.