Hmmh,

was ist aussen was innen?
Im übrigen wenn ich das recht im Kopf habe, kommen die Abfragen gegen die MySQL Datenbank IMMER vom Web-Server also kannst du mit den Host angaben in der MySQL Datenbank schonmal keine Rechner ausgrenzen. Abgesehen von der möglichkeit IP's zu fälschen.
Versteh ich das richtig, der selbe User darf im Intranet Seiten sehen, die er im Internet nicht anschauen darf? Oder was soll das mit den Rechnern.

Ich habe vor längerem schon mal was ähnliches gemacht. Da habe ich per DNS Abfrage den Rechnernamen ermittelt und in eine selbstgebaute Authentifikation einbezogen. Ginge theoretisch auch über die IP-Adresse (Funktion musste nachschauen))
Wenn Client IP im Bereich 172.21.*.* dann guter PC wenn nicht dann nicht.

MAC Adresse (boah ich müsste mal die Netzwerk-Basics wieder auffrischen) ist ja in tieferen Schichten (Schicht 1?) versteckt. Da habe ich meine Zweifel, dass du die mit PHP-Bordmitteln auslesen kannst.