omezeni jednoho stroje v siti pomoci BSD

[Jaroslav Votruba]

nas management se rozhodl ze bude sledovat zamestnance, co delaji na 
pocitacich. To by mi nevadilo, jako to, že ta firma tu ma svuj linuxovej 
server v me siti, musel jsem jim udelat pristup zvenci, ale co mi vadi, 
ze nemam pristup na ten server a nevim co vse mohou provadet v me siti. 
Je to asi paranoia, ale firmu neznam a ten jejich program se necha tak 
jednoduse obejit( na coz uz nekolik lidi prislo a nebyli  to zadni 
experti), ze to vyvolava pochybnosti o te dotycne firme. Neni problem si 
u nas nasnifovat jmena a hesla k mailovym uctum, protoze konkretne nasi 
manageri se nechteji POP3 vzdat(duvod je -a ja to chci mit v notebooku 
furt s sebou).
Stavajici stav je takovy. Server s BSD 5,x funguje jako brana , firewall 
a router. Ma dve rozhrani -venkovni a vnitrni 192.168.0.0/24. Ten jejich 
server ma IP 192.168.0.6 a tunelem je ssh otevreno ven na druhe verejne 
IP , ktera je aliasovana na venkovni sitovce. Jejich serveru staci jen 
poslouchat na portu kde je postgrsql ( port zpameti nevim, ale jednou z 
reseni jak eliminovat sbirani dat je na stanici blokace tohoto portu), 
ale data ve vnitrni siti nejdou pres BSD, ale smeruje je primo switch, 
takze firewall na bsd je mi na nic.
Jak to nejsnaze udelat abych jim mohl ustrihnout vse krome postgre a 
http? Jedine co me napadlo, dat do bsd serveru jeste jednu sitovku a 
provoz routovat na jejich stroj, pak bych jim vse okrajel pomoci ipfw. 
Ale mozna je i snazsi reseni