Как отключить сетевые возможности ПК, который не в домене?

может проще тогда не подключать к сети вообще?

ps я не к тому что ответы коллег не хороши, возможно даже отличны... но право дело - если надо кастрировать рабочее место, можно просто отобрать кабель/забанить на свиче мак. апдейты ставить по мере надобности, может даже раз в год, но лично админом

Укажите в DHCP для этого компьютера шлюз 127.0.0.1 (замыкание на себя).

https://docs.microsoft.com/en-us/windows/desktop/n...

смотрите в эту сторону.
Но это требует полноценно работающего домена, управляемой сети и т.п.

Компьютер можно поместить в отдельный VLAN где как он никого не будет видеть так и его.
Удобство в том, что этими настройками можно управлять непосредственно на роутере\свиче, а не ходить и дёргать компьютер.

Тыща и один способ, правда в том случае, если у юзера нет прав админа (если есть, способы тоже есть, но куда меньше)
- Указать шлюз 127.0.0.1
- Снести дрова на сетевуху
- Удалить протоколы из настроек сети
- Выдернуть провод :) и опечатать разьем (или залить его чем-нибудь)
- Забанить порт на свитче
- Поместить порт в уникальный VLAN чтобы он там был единственным :) Способ хорош тем, что линк на карте есть ;)
- если используется DHCP - настроить его так, чтобы он не выдавал данному маку никакого IP