>> Лучше считать трафик сразу на порту.
> Чем лучше считать? У меня была мысль считать фаерволом. В качестве штатного
> фаервола используется pf, но у него на внутреннем интерфейсе уже есть
> куча правил. Пробовал дополнительно, в качестве второго фаервола поставить ipfw, но
> два фаервола корректно не заработали, а разбираться не было времени.

Считать ipfw в некоторых случаях затруднительно учитывая нюансы работы с правилами keep-state \ check-state.
Посмотрите в сторону ng_netflow и pmacct.

>> Так как ваша версия squid не будет логировать трафик идущий через метод CONNECT.
> А есть версия, которая будет логировать?