Para hacer algo parecido cree varios profiles uno que apico a cierrtas horas donde dejo a los usuarios utilizar facebook (hora de la comida) y otro con las restricciones necesarias.
En la sección de carga de profiles pudes activar uno u otro
Ahora bien para controlar las IP utiliza ya sea el DHCP del zeroshell o con tu servidor de dominio dentro de la escuela, (yo tengo uno en windows), y reservo los rangos de ip para los usuario que no tienen restricciones a ninguna hora de día. Si utilizan Vlan seria genial porque podrias controlar todo con vlans o subneteo.