хитрая задача

ситуация такая: сервер для доступа в инет имеет 2 интерфейса, внутренний и ынешний с маской 0.0.0.0, доступ в инет осуществляется при помощи маскарадинга (с помощью ipchains) на каждого пользователя отдельно, когда пользователю включен инет, его маскарадит, когда не включин, его просто роутит, вот как сделать чтоб его и не роутило? (добавление рулезов файрвола, чтоб блокировало не подходит)