Il problema è analogo a quello del parental control, complicato dal numero di postazioni da controllare e dal volume del traffico.

Per questo motivo escluderei subito le soluzioni ”locali“ (ad esempio plug-in per i browser), complicate da gestire e facilmente aggirabili.

Come prerequisito è dunque necessaria l'installazione di un firewall, che oltretutto, se ben utilizzato, ha anche altri vantaggi.Viste le dimensioni, un pc con un software specializzato dovrebbe essere sufficiente: se non se ne trova uno obsoleto da riciclare, esistono sistemi ad un costo inferiore ai 300€ più che adeguati. Per quanto riguarda il software non c'è che l'imbarazzo della scelta. Ad esempio, limitandosi a soluzioni gratuite: pfSense, IPFire o l'italiana Zeroshell, meno rifinita delle altre, ma eccellente sotto tutti i punti di vista.
Una volta installato il firewall, la soluzione più semplice è utilizzare un server DNS che fornisca un servizio di filtraggio (il firewall, limitando le connessioni sulla porta DNS, evita che gli utenti possano utilizzare server diversi). Il più famoso è OpenDNS, che offre anche soluzioni gratuite. A fronte dell'estrema semplicità d'uso, c'è una limitata flessibilità sulla scelta dei siti da escludere.
Se, invece, si desidera una maggiore personalizzazione, a costo di un maggior impegno, anche economico, bisogna ricorrere al filtraggio sul firewall delle pagine web. Le metodologie sono sostanzialmente tre: uso dei metatag (POWDER, già PICS [v.gd/lufadi]), blacklist e content filtering.
L'uso dei metatag (informazioni inserite nelle pagine web, che ne indicano la tipologia) presuppone la collaborazione dei fornitori, il che non accade quasi mai. Le blacklist (elenchi di siti da filtrare) necessitano di un aggiornamento continuo e quindi sono di solito a pagamento [v.gd/nutuje].
Il content filtering è il sistema più sofisticato e flessibile: analizza le pagine web in arrivo alla ricerca di parole chiave, assegnando loro un punteggio, in modo del tutto analogo a quanto fanno i filtri antispam. È chiaro che, come per lo spam, sono possibili falsi positivi e quindi è necessaria anche la presenza di whitelist.
La realizzazione pratica di quanto sopra comporta l'installazione sul firewall di un web proxy (il più comune è Squid) e di un software specifico (tipicamente DansGuardian), che supporti tutti e tre i metodi elencati.