На маршрутизаторе настроить ttl=1. При подключении роутера, ttl уменьшается на 1. Но так как ttl≠0, то роутер работать не будет.
В более дорогих роутерах есть функция don't change ttl. Но я думаю, что работники не такие грамотные.
На одном предприятии была такая авторизация: на порту привязка мак+eap+tls+freeradius. Вайфай тоже раздавался с авторизацией по радиусу. У каждого клиента свой пароль и логин на подключение. Модуль я сам писал. Полное логирование по netflow.
Также политики безопасности касперским на каждом компьютере. Просто так флешку или иное usb устройство не включишь. Мониторинг полный.
Был один раз инцидент, сотрудник принес ноут и пытался проверить сеть на безопасность. Но не получилось. Больше не работает этот сотрудник.