Filtrage Internet

Bonjour!

Actuellement, j'ai un serveur avec trois cartes réseau (2 On-board, 1 Add-on/PCI) :

• La première (on-board gigabit/eth0/192.168.0.2) offre Internet au serveur par le bais d'un modem (192.168.0.1)- Il n'y a pas d'autres appareil sur cette plage IP, seulement le serveur et le modem.
• La deuxième (on-board gigabit/eth1/ 172.17.64.1), sur une plage IP différente, offre Internet au réseau local (172.17.64.0/24)- Il y a une bonne trentaine d'appareils sur cette plage IP dont un émetteur WiFi 802.11 n/ac (172.17.64.2) qui est le seul appareil, avec le serveur, à avoir une IP statique (l'appareil est en DHCP mais l'IP est attribuée via isc-dhcp-server).
• La troisième (add-on fast-ethernet 100/eth2/ 192.168.1.1) sur une plage IP différente, offre un accès Internet à un réseau sans-fil local (192.168.1.0/24) pour les clients et les représentants commerciaux par le biais d'un unique émetteur Wi-Fi 802.11 ab/g (192.168.1.2- Appareil DHCP aussi, mais IP également attribuée via isc).

Le pare-feu (iptables) autorise le trafic de eth2 et eth1 sur Internet (eth0) mais bloque l'accès au modem. Il fait aussi en sorte qu' eth2 et eth1 ne puissent pas communiquer entre-eux.

Je cherche un moyen pour filtrer la connexion Internet dans notre entreprise; rien de bien méchant, juste une page pré-connexion avec un disclaimer qui demande à l'utilisateur, d'accepter d'utiliser Internet seulement dans le cadre professionnel et, de cliquer sur Ok pour afficher la page d'accueil.
Que toute tentative d'accès à Internet AVANT d'avoir affiché cette page disclaimer et cliqué sur OK soit impossible... Même le courrier électronique ou le Terminal Server.

Quelqu'un aurait une idée?


PS : Debian 8