Netzwerk gegen unbefugte Teilnahme sichern - kein 802.1X?

Für meine Firma soll ich ein Konzept erarbeiten, wie in unseren Außenstellen das Netzwerk gesichert werden kann.
Es soll verhindert werden, dass "Fremde" eigene Netzwerkteilnehmer anschließen und diese dann munter kommunizieren. Kein Netzwerkzugang ohne unser OK!

Kurz zu der Ausgangslage in den Außenstellen:
die Standard-Außenstellle hat ein Viertelnetz und ist über einen Cisco-Router per VPN Verbindung an das große Firmennetz angeschlossen.
In jeder Außenstelle gibt es eine Zahl X von Windows-PCs, meistens XP, vereinzelt 2k oder Server 2003.
Außerdem gibt es noch jeweils eine Zahl X von andere Netzwerkteilnehmern, als da wären Kassen, EC-Terminals, auch mal Waagen und andere Automaten.
Diese sollen und dürfen kommunizieren.

Draußen bleiben sollen Netzwerkteilnehmer jeglicher Art, seien es nun Windows, Linux oder whatever Systeme, egal welchen Zweck die erfüllen, die wir nicht kennen und die vorher nicht um Erlaubnis gefragt haben.

Ich habe mir schon die Idee aus dem Kopf massiert, einfach einen Managed Switch zu benutzen, und in diesem die unbenutzten IP-Adressen des Viertelnetzes schlichtweg zu sperren. Dann sollte ja keiner mehr mit einem zusätzlichen Teilnehmer reinkommen, außer er geht auf einen Adresskonflikt, was nicht in seinem Interesse sein kann. (DHCP ist übrigens aus)

Das Problem ist, dass man hinter einem Router, der eine der erlaubten IPs bekommt, ja ein zweites Netz aufbauen kann. Und alles was hinter dem Router sitzt dürfte freudig durch die gegend feuern, oder?

Hier im Forum habe ich schon 802.1X und Radiusserver gelesen. Klingt gut, nur gehe ich ganz stark davon aus, dass nicht alle Hardware die wir in den Außenstellen haben, mit diesen Protokollen arbeiten kann und dann fallen die schon mal raus. Meiner Einschätzung nach ist das so viel Hardware, die wir auch als strategische Firmenlösung im Einsatz haben, dass man diese nicht übergehen kann.
Wenn ich das richtig gelesen habe, ist der Einsatz von 802.1X sehr konsequent. Entweder hast du es drauf, oder du bist raus - kein wenn und aber.

MAC-Adress-Filterung ist zwar nett, aber stellt in meinen Augen auch keine sonderlich hohe Hürde da. Gibt da ja mittlerweile genug Möglichkeiten.

Habt ihr vielleicht noch eine Idee, mit der man das Ziel erreichen kann, zu verhindern, dass sich fremde Teilnehmer in das bestehende Netzwerk einklingen?
Ich vermeide bewußt den Begriff "Clients", weil man das schnell als Personalcomputer oder Workstations ansieht, aber das ist nicht immer der Fall. Es geht auch und vor allem um Geräte, die nur ein sehr rudimentäres OS besitzen und nicht dafür gedacht sind als Personalcomputer von einem User benutzt zu werden. Es sind zum Teil mehr "Werkzeuge" oder Automaten usw.

So, jetzt habe ich viel geschrieben, hoffe ich konnte mein Problem deutlich machen und würde mich freuen von Euch eine Rückmeldung zu erhalten.
Falls noch etwas unklar ist, immer raus mit Fragen.

Gruß,
Lordred

PS Bevor jemand fragt: Bis jetzt gibt es in den Außenstellen keine Workgroups, Domänen, Novell-Geschichten oder ähnliches, was irgendeine Art der übergeordneten Instanz im Netzwerk darstellt. Einzig das gleiche Netz verbindet die einzelnen Teilnehmer.