пока у тебя есть хоть один открытый порт наружу, пользователь может снаружи найти прокси и через него работать.

Тут без вариантов, допустим тебе надо чтобы они тягали почту снаружи офиса - ты откроешь им 110 порт - на него можно повесить прокси.

Так что только явным открытием узкого перечня разрешенных сервисов + заворачивание всех на прокси.

Но и тут, если прокси открыт на все адреса назначения, можно обойти это след образом: опенвпн сервер снаружи, опенвпн сервер внутри, соединение через твой прокси и проброс внутрь офиса туннеля :) - все, защита пройдена.

Так что решать эти вопросы можно только административными методами:

  1. Наказывать за нецелевое использование рабочего времени
  2. открывать только разрешенные сайты/сервисы.
  3. контролировать объемы прокачанных данных с разрешенных сайтов/сервисов, наличие аномалий - подозрения - анализ - наказания :)

А лучше вообще ничего внешнего не давать и контролировать емайл (а то на анекдотов рассылку подпишутся :))) )

>[оверквотинг удален]
>2. squid
>
>впринципе удобно, но пользователи указывают внешние прокси серверы и всё продолжает работать.
>
>
>
>Как то можно сделать чтобы пользователи железно не могли заходить на сайты,
>которые я укажу, при этом такие сайты можно было прописывать доменами
>(а ещё лучше чтобы можно было задавать "шаблоны" как в squid)?
>

Для разрешения/запрета сайтов прикрутить к сквиду фильтр типа SquidGuard-a.
Насчет внешних прокси... максимум - это поиграться в том же сквиде с header_access (вроде так)

а вообще программ для создания туннелей навалом, так что проблема с использованием внешних прокси - это скорее работа службы безопасности ;)

Самый эффективный метод это административно-психологический. Всех уведомить что за хождение по левым сайтам штраф или увольнение. Дальше открыть свободный доступ и одновременно вести логи кто и куда ходил. По сравнению с попытками перекрыть метод имеет большое преимущество в том, что человек не может узнать позволила ли ему кулхацкерская програмулина скрыть свои действия от логов, особенно если итоги подводятся в конце месяца. В случае же запретов кулхацкер всегда может сразу увидеть позволяет ли какой-то метод их обойти или нет и если нет, то начнет искать следующий.

>[оверквотинг удален]
>Весь трафик идёт через FreeBSD сервер, на котором ipfw, прозрачный прокси squid
>(ну он же доступен на порту 8080). Пользователи идентифицируютсяпо ip адресу.
>
>
>Варианты:
>1. ipfw
>
>Не удобно тем, что нужно для каждого пользователя прописывать что можно что
>нельзя, а так же нельзя прописывать доменные имена (можно только ip).
>Если я не прав, то поправьте меня.

изврат

>2. squid
>
>впринципе удобно, но пользователи указывают внешние прокси серверы и всё продолжает работать.

а почему им позволено выходить в инет через чужой прокси? Настройте ipfw так, чтобы в инет они выходили через ваш прокси сервер.

>Как то можно сделать чтобы пользователи железно не могли заходить на сайты,
>которые я укажу, при этом такие сайты можно было прописывать доменами
>(а ещё лучше чтобы можно было задавать "шаблоны" как в squid)?

http://www.sys-adm.org.ua/www/squidGuard.php