netzwerk über router/fw sichern

[kkdu]

hab folgendes problem: wir wollen in der firma für einge mitarbeiter heimarbeitsplätze einrichten. der gedanke ist, dass sie per vpn eine verbindung zu unserem terminal server aufbauen. soweit so gut. das problem taucht erst dann auf, wenn ein mitarbeiter das schnelle inet (kriegen breitband anbindung) auch privat nutzen will. wir haben die leute schon so weit, dass sie einsehen, dass es nicht gscheiut ist, private und firmenkiste zu mischen. wie kann ich das jetzt am sinnvollsten regeln, dass am router z.b. 3 rechner dranbhängen, einer nur vpn fahren darf, die anderen alles ausser vpn dürfen. ich denke, diese beschränkung kann ich über static routes ermöglichen. wie kann ich aber verhindern, dass der firmen rechner für die anderen beiden rechner am router sichtbar ist? gibts die möglichkeit, dass ich ihn in einen anderen adressbereich/subnetz hänge bzw. was wäre die sinnvollste lösung?