我单位的电脑IP是通过DHCP自动分配的，这样的话，不能用ISA通过限制IP的方式禁止某些用户上网。ISA能通过限制MAC地址么？

可以通过用户名进行限制,更加有效

楼上说的 对，你可以和AD结合，建个群组，然后在能连外网的那个原则下加个这群组就可以实现了啊

可以基于用户组或者ip段来控制，isa不支持mac级别的控制。