Вначале хочу выразить свое восхищение стилем изложения проблемы.
Очень понравилось, снимаю шляпу! :)
А теперь - по сути дела.
К сожалению, сразу огорчу - полностью вся затея не выгорит.
Нельзя запретить юзеру статически устанавливать официально принятые в организации параметры локального клиента TCP/IP.
А вот строго запретить самовольно устанавливать себе чужой IP-адрес - это можно и нужно сделать.
На сервере денно и нощно должен крутиться arpwatch или аналогичный сервис.
Чуть замечена смена IP на каком-то MAC'е - email админу.
Админ тут же глядит на arp-таблицы свичей.
В минуту вычисляет, на каком порту сидит MAC хитрож...ого юзера.
Недрогнувшей рукой выдергивает сетевой кабель из порта либо программно гасит порт на свиче.
Тут же другой рукой набивает шефу телегу на юзера, либо просто звонит шефу и докладывает ситуацию.
Пару-тройку раз так поучить народ уму-разуму - и народ поумнеет.
И Ваши нервы станут мягкие и шелковистые! :)