Puedes bloquearla desde C:\WINDOWS\system32\drivers\etc, busca un archivo llamado hosts y ábrelo con un Bloc de notas; luego busca al final  y encontrarás una linea como esta:
127.0.0.1       localhost

Ahora es muy simple, coloca lineas debajo con los números 127.0.0.1 y la dirección a bloquear, debería quedar así (copia todo lo que esta debajo de localhost y pegalo, así nunca podrá entrar al facebook por ningún país); igual debes hacer para bloquear cualquier dirección.
Espero te sirva....

127.0.0.1       localhost
127.0.0.1   af-za.facebook.com
127.0.0.1   az-az.facebook.com
127.0.0.1   id-id.facebook.com
127.0.0.1   ms-my.facebook.com
127.0.0.1   bs-ba.facebook.com
127.0.0.1   ca-es.facebook.com
127.0.0.1   cs-cz.facebook.com
127.0.0.1   cy-gb.facebook.com
127.0.0.1   da-dk.facebook.com
127.0.0.1   de-de.facebook.com
127.0.0.1   et-ee.facebook.com
127.0.0.1   en-gb.facebook.com
127.0.0.1   www.facebook.com
127.0.0.1   www.connect.facebook.com
127.0.0.1   es-la.facebook.com
127.0.0.1   es-es.facebook.com
127.0.0.1   eo-eo.facebook.com
127.0.0.1   eu-es.facebook.com
127.0.0.1   tl-ph.facebook.com
127.0.0.1   fo-fo.facebook.com
127.0.0.1   fr.facebook.com
127.0.0.1   fr-fr.facebook.com
127.0.0.1   ga-ie.facebook.com
127.0.0.1   gl-es.facebook.com
127.0.0.1   ko-kr.facebook.com
127.0.0.1   hr-hr.facebook.com
127.0.0.1   is-is.facebook.com
127.0.0.1   it-it.facebook.com
127.0.0.1   ka-ge.facebook.com
127.0.0.1   sw-que.facebook.com
127.0.0.1   ku-tr.facebook.com
127.0.0.1   lv-lv.facebook.com
127.0.0.1   fb-lt.facebook.com
127.0.0.1   lt-lt.facebook.com
127.0.0.1   la-va.facebook.com
127.0.0.1   hu-hu.facebook.com
127.0.0.1   nl-nl.facebook.com
127.0.0.1   ja-jp.facebook.com
127.0.0.1   nb-no.facebook.com
127.0.0.1   nn-no.facebook.com
127.0.0.1   pl-pl.facebook.com
127.0.0.1   pt-br.facebook.com
127.0.0.1   pt-pt.facebook.com
127.0.0.1   ro-ro.facebook.com
127.0.0.1   ru-ru.facebook.com
127.0.0.1   sq-al.facebook.com
127.0.0.1   sk-sk.facebook.com
127.0.0.1   sl-si.facebook.com
127.0.0.1   fi-fi.facebook.com
127.0.0.1   sv-se.facebook.com
127.0.0.1   th-th.facebook.com
127.0.0.1   vi-vn.facebook.com
127.0.0.1   tr-tr.facebook.com
127.0.0.1   zh-cn.facebook.com
127.0.0.1   zh-tw.facebook.com
127.0.0.1   zh-hk.facebook.com
127.0.0.1   el-gr.facebook.com
127.0.0.1   be-by.facebook.com
127.0.0.1   bg-bg.facebook.com
127.0.0.1   mk-mk.facebook.com
127.0.0.1   sr-rs.facebook.com
127.0.0.1   uk-ua.facebook.com
127.0.0.1   hy-am.facebook.com
127.0.0.1   he-il.facebook.com
127.0.0.1   ar-ar.facebook.com
127.0.0.1   ps-af.facebook.com
127.0.0.1   fa-ir.facebook.com
127.0.0.1   ne-np.facebook.com
127.0.0.1   hi-in.facebook.com
127.0.0.1   bn-in.facebook.com
127.0.0.1   pa-in.facebook.com
127.0.0.1   ta-in.facebook.com
127.0.0.1   te-in.facebook.com
127.0.0.1   ml-in.facebook.com
0
0

Bueno el listado de etc no es la solucion mas optima. Primero porque si tienes 10 usuarios vas a tener que modificar el archivo de cada equipo. Segundo que lo que estas haciendo es engañar al usuario modificando el cliente DNS.
Si el usuario introduce la IP de facebook con ese sistema. Ya podra acceder.

Lo ideal en el router firewall es denegar todo. Permitir las conexiones por puerto 80. 8080. Etc y denegar el acceso a IPs como facebook.

Salu2