Дырки в прозрачном проксе

iptables -A INPUT -p tcp --dport http -J REJECT
Если у тебя прокси слушает 80 порт, то тогда в правило надо добить "-d ! server_ip"

>Как сделать чтобы юзера не могли обходить блокировку локальной прокси?

Никак, это невозможно.

>Можно ли написать правило которое бы блокировало все пакеты которые идут от IE, Opera, Firefox?

нет.

>IE, Opera, Firefox? На каких портах они сидят?

Мощно задвинул :)) Но если бы эти приложения были серверами, то скорее всего,сидели бы на 80 порту :)

>Есть ли какие-то другие варианты решения этой проблеммы?

На бумаге запретить

Тут смотри - http://wiki.noreply.org/noreply/TheOnionRouter/SquidProxy

iptables -t nat -A PREROUTING -i <your_net_interface> -m layer7 --l7proto http -j REDIRECT --to-port <your_proxy_port>

используй просто squidguard, у них довольно полный список халявных проксей. и не заморачивайся для решения этой проблемы с layer7, это из пушки по воробьям.

Я че то не понимаю ? Что мешает на прокси/фаерволе пропускать пакеты только от прокси сервера, а от юзеров дропать?

Это не очень удобно, если надо предоставить доступ не только по http.

Кроме того, если "левый" proxy работает по 80 порту, отследить обращение к нему сложно. Ну, пошел пользователь на какой-то сайт, как знать, зачем?

Загружать списки внешних прокси слать в реджект - другого способа не знаю