Sacar pcs del dominio...

Lo primero, yo uso una solución panda a nivel central y me imagino que es la misma o parecida, el caso es que conozco muy bien su funcionamiento. El panda se come casi todos los recursos de la máquina pero en ninguna cabeza cabe meter un Agente de Panda en un equipo con 64MB de RAM! Si que no te entrarán virus en el equipo pero es que tampoco podrás trabajar por la lentitud que te va a ocasionar. En fin, ellos sabrán. Por otro lado, el problema no está en el dominio (sino en el panda), lo que deberías de hacer es crear una VLAN como dicen para tener dos redes separadas. Si haces lo que tu comentas del switch si que puedes crear un grupo de trabajo pero para que salgas a internet tendrás que añadir una puerta de enlace y unos DNS que estén dentro de tu red actual por lo que si quieres que los equipos salgan a internet no puedes cambiarles el rango de red. Para ello hay que crear una VLAN en el switch o en el router. Si está opción no te permiten hacerla tenemos otras posibilidades. Podemos montar un equipo con Windows XP y que este tenga el panda instalado o un firewall o todo lo que queráis meterle. A este equipo se le configura internet y se le habilita para que comparta su conexión. Al resto de equipos se les pone para que usen dicha conexión compartida y si luego se llenan de virus los equipos clientes te da igual, se formatean y listos ya que si es una clase de formación no tendrán nada de información personal. Por otro lado, como el Windows XP está securizado al máximo no podrá infectarse y no infectará el resto de la red. A dicho Windows XP deberías de ponerle dos randos de red. Uno con la salida a la puerta de enlace para poder tener salida a Internet o otra de un rango completamente ajeno en donde entrarán el resto de equipos del grupo de trabajo. Es algo complicado si no lo has hecho nunca ya que hay que hacer muchas configuraciones, no te lo recomiendo. Otra opción sería montar un ISA Server y los equipos del grupo de trabajo conectados a él pero si no conoces nada del ISA es mejor que no te metas así que la mejor opción en tu caso sería crear la VLAN o actualizar los recursos de los equipos claro!
Suerte.