pro windows bez internetu by mohlo stačit nevyplňovat hodnotu router v ručním nastavení tcp/ip, přitom bys však viděl do domácí síťky, jestli máš další pc nebo síťovou tiskárnu připojené za domácím routerem.
úplný zákaz sítě dosáhneš zakázáním síťové karty, jak píšeš.
uživatelé samozřejmě mohou být pouze useři a ne admoši.

dualboot: vždy se nejdřív instaluje hloupější systém, pak ten s lepším bootloaderem. rozumnější bylo nechat tam win jako první, za ně nainstalovat linux, grub už by se postaral u dualboot.
windows se vždy chovaly jako ruská okupace - že kromě nich už na světě nic jiného nesmí existovat. čili těžko je donutíš aby nainstalované jako druhé ti spouštěly linux, ani od visty nečekám žádný nárůst inteligence.
takže po dodatečné instalaci win tě ještě čeká oprava bootování linuxu.
přitom by stačilo, kdyby jak win, tak tučňák se svým grubem nechaly na pokoji mbr.
pokud grub nebude umět nastavit sám dualboot, musel byz zkusit nějaký novější "os selector" třetí strany.

500gb si nech jako přenosný disk pro data, nech ho klidně jako extended oddíl.

na viry a.j. ti mohou stačit omezená práva uživatelů; u tučňáků je to od začátku samozřejmost, pro funkčnost programů nikdy nevyžadovaly být přihlášen jako správce. tučňáci tuším default obsahují nějaký firewall, ale nejsem uživatelem, víc nevím.