я бы и это через кастомный веб-интерфейс делал, кстати )
Я пинговалкой сделал.
Пингуешь определённый IP (висит на лупбеке у микрота) с определённой длиной с определённого IP (с IP компа учителя чтобы ученики сами себе не могли инет открыть), при пинге добавляется в address-list dst-address с таймаутом 10с, если адрес в листе и пингуется - в нетвотче запускается скрипт, который включает правила, которые разрешают доступ в инет.
Перестал пинговать тот самый определённый IP - через 10с протухает его добавление в адреслист, в нетвотче IP уходит в даун, скрипт в нетвотче на даун отрабатывает и отключает разрешающие правила в фаерволе.
У учителя батник на рабочем столе с ping -t с вывод в NUL. Запустил и висит в панели задач. Выключили батник - интернет пропал.
Удобно