ISA 2004 und unberechtigte Clients (z.B. Notebooks) aus dem Netzwerk aussperren

Folgendes Szenario: Das AD läuft mit einem SBS2003 Premium. ISA 2004 ist als Webproxy für die Clients konfiguriert.
Die AD-Clients erhalten die WebProxyadresse über eine GPO zugeteilt. Die IP-Adressen werden über DHCP vergeben.

Wie kann ich mittels ISA und geringem administrativen Aufwand verhindern, dass ein Mitarbeiter z.B. sein privates Notebook ans Netzwerk stöppselt und im Browser mittels Proxyeintrag und anschließender Benutzerauthentifizierung surfen kann, d.h. nur Clients der Domäne werden zugelassen?

Bitte nur sinnvolle Antworten.