как юзверей заставить ходить только через прокси,

Чтобы заставить ходить - transparent proxy

ipchains -A forward -d 0/0 80 -j REJECT

Сами прибегут ;)))

Если адресация внутренняя 192.хх.хх.хх, то ipchains -F, и без сквида никуда

а логи можешь саргом смотреть - замечательная вещь :)
http://web.onda.com.br/orso/index.html

Если не хочешь страдать над прозрачным прокси, то в конец rc.local пропиши : 
echo 0 > /proc/sys/net/ipv4/ip_forward.