come pensavo... e' una cosa che mi e' gia' capitata svariate volte.

la soluzione per impedire che la gente entri nei pc e' questa:

si mettono ip privati ai pc...
l'unico ad avere un ip pubblico e statico e' il router!

il router poi si programma in modo da far entrare (per il programma di contabilità) l'assistenza remota o altro:
si va sulla sezione NAT del router e si dice che tutte le richieste che arrivano alla porta XX del router vanno reindirizzate alla porta XX del server ( o di uno dei pc)