Grupos de acceso a internet

Hola a todos.

En un equipo con Win2k server que es controlador de dominio en una red,
podría de alguna manera determinar qué usuarios van a poder acceder a
internet (y a que servicios) y cuales no?.

Es decir, es posible crear grupos de forma que unos por ejemplo puedan
acceder al correo electrónico pero no a páginas web, otros puedan tener
tanto correo como páginas web, pero no ftp, y otro por ejemplo que no
puedan
tener acceso a nada, ni correo ni web, etc, etc?

Para esto es necesario tener un ISA SERVER?

Gracias de antemano por vuestra ayuda.
Un saludo.