Запретить досуп через WiFi/Bluetooth

stateful firewall (iptables) / банальный NAT

50% действий будут административными. За установку на компе блютус-адаптера -- штраф.
Остальные 50% техника. С ходу ничего умнее pppoe не придумывается.

stunnel?

1. Отсуствие рутовых прав у пользователей
^^^^^^!!!!!!!!!!^^^^^^

2. Перевод рабочих мест (где это возможно) на бездисковые машины, в идеале - класса system on chip, вообще без места для втыкания адаптера.
3. Доступ к компьютерам по карточкам (магнитным, RFID)
4. Автоматизированный мониторинг компов на предмет изменения аппаратной конфигурации (скрипт за полчаса можно наваять, для винды можно и в кернеллспейс зафигачить)

5. Административные воздействия.

Пункты отсортированы в порядке убывания полезности для it-инфраструктуры предприятия в целом.

№4 под вендой - девайслок, под линуксом - diff + lspci + dmesg при загрузке, в сочетании с syslogd на сервер логов.

№1 абсолютен, sudo пользователям не требуется.

Как раз sudo, наверное, можно. Но не в режиме All:ALL NOPASSWD

Спасибо всем ответившим!
Будем с начальником думать, как этот "колхоз" 
превратить в "фермерский" участок!

Всем ещё раз спасибо!

P.S: Сейчас все компы за NAT-ом, доступ в инет только через прикси или
pptp.

персоналки с виндой в основном? cisco secure agent - возможное решение.

PS. могу продать :)

Да в основном с виндой, но есть и кластера под Unix.
P.S.: Спасибо, конечно, но такое решение нам не подходить.