Alternative zum ForeFront-Server

Hallo,
der ForeFront-Server wurde abgekündigt jetzt möchte ich mein Problem damit nicht mehr lösen.

Grundproblem: Ich habe einen Router, der Content-Filterung und Internet-Freigabe lediglich auf IP-Ebene kann und setzt drei physikalische Terminalserver auf Windows 2008 Ebene ein. Das heißt, ich kann nicht über den Benutzername differenzieren, ob ein Internetuser Zugang hat oder nicht.

Wünschenswert wäre folgende Lösung, ich habe aber keine Idee, wie ich das umsetzen soll:
- Richtlinie: GLOBAL BLOCK LAN->WAN (das kann die Router-Firewall)
- Freigabe der 3 IP-Adressen auf GLOBAL ALLOW LAN(IP1,2,3) -> WAN (das kann sie auch)
- Jetzt muss ein an das AD angeschlossene "System" entscheiden, ob ein Windows-User Voll oder Nicht Voll ins Internet darf.

Hoffe, ihr habt eine Idee.
Viele Grüße,
Peter