>[оверквотинг удален]
> чисто теоретический вопрос каким образом организовать
> имеем: 2 сетевые - одна в инет, другая внутрь.x.x.x.x и 192.168.0.100 соответственно
> во внутренней алиас на IP 192.168.2.100
> группы: 1-бухгалтерия(для неё алиас),2-полный доступ(все возможные порты+торрент),3-ограниченные(только
> инет)
> проблема возникает с доступом в торрент, или закрывается вообще через iptables, или
> доступен всем.(!даже не авторизованным пользователям-по мак адресам списки групп, хотя
> squid блокирует для них инет).
> в идеале конечно хотел бы получить помощь в настройке, но пока интересует
> теоретически как организовать доступ.

торренты могут работать на разных порта при этом как по tcp, так и по udp, поэтому прокси тут не сильный помощник.

Это возможно в режиме непрозрачного прокси-сервера. Для ограниченной группы разрешите метод CONNECT только на определённые порты (https), а для полного доступа - без ограничений.

Но если прокси будет работать в непрозрачном режиме, то во всех программах придётся его отдельно указывать (т.е. настраивать каждую программу отдельно). Есть, конечно, варианты с dhcp+wpad, но не каждая программа это умеет.

Ну и ещё один момент - торренты через http-прокси будут очень плохо раздавать, т.к. ограничены только протоколом tcp. Если для вас это критично, то можно посмотреть в сторону SOCKS-проксей.

Vipys , на вашем месте я бы для таких задач использовал бы fprobe + flow-tools , через fprobe слушал бы трафик, через flow-capture агрегировал его, через flow-export экспортировал его в mysql например. Далее на perl или php сделал бы пару скриптов по подсчету скачанного трафика и строил бы правила iptables относительно ипа, а чтобы ип с юзернеймом скрестить, с какой-нибудь виндовой тачки бы делал через батник (хз, может и из линуха можно wmic юзать)
@echo off
chcp 65001
FOR /L %%i IN (1,1,50) DO (
echo comp-%%i >> comp.txt
wmic /Node:"comp-%%i" ComputerSystem Get UserName >> comp.txt
echo . >> comp.txt
)
Потом это тем же перлом бы в мускуль отдавал и там связывал бы с ипом.

к сожалению, для меня переход от винды к никса переходит довольно тяжело.

пока попробовал и работает centOS+squid и нормально,
проблемы именно с торрентом, объём скачки не интересует(интернет-не канал, а ворота)
волнует именно запрет на группу использования p2p- торрент скачек, skype, и игры (работают тоже через диапазоны портов), при этом необходима работа https, обращения по IP, и видеоконференцсвязь.
прошу подсказать как это реализовать в centos или squid.

за ответы большое спасибо, буду копать мануалы..

> интересует вопрос блокировки торрента на определённых группах пользователей.
> чисто теоретический вопрос каким образом организовать

решил проблему... оказало не так и просто...
во первых iptables на каждый открытый порт(у меня их несколько из-за особенностей специализированного ПО пришлось открыть)сделать перенаправление на порт сквида-3128
во вторых торрент клиенты обладают несколькими способами закачки:
1-блокируем скачку файлов .torrent
2-блокируем по списку торрент трекеры(несложно найти в интернете)
3-добавим в список torrent.local
4-запрещаем обращения в сети по IP
5-режем по mime типу пакеты bittorent(сработает только при незафрованном трафике клиента)

6-конечно, ограничения портов или метода CONNECT не действует по причинам:торрент может использовать абсолютно любой порт, а метод коннект при зашифрованном трафике не получиться правильно ограничить, если полностью отключить падает https(сайты vk, google, mail и т.д.)

при данных настройках пока в торрент никто не прорвался... всем спасибо за помощь,  если что-то не прокатит, ещё отпишусь.

кусок squid.conf

acl SSL_ports port 443
acl Safe_ports port 80        # http
acl Safe_ports port 21        # ftp
acl Safe_ports port 443        # https
acl Safe_ports port 70        # gopher
acl Safe_ports port 210        # wais
#acl Safe_ports port 1025-65535    # unregistered ports
acl Safe_ports port 280        # http-mgmt
acl Safe_ports port 488        # gss-http
acl Safe_ports port 591        # filemaker
acl Safe_ports port 777        # multiling http
acl CONNECT method CONNECT
####################

acl full arp "/etc/squid/arc/full.txt"
http_access allow full

##
http_access deny !Safe_ports                                         <-фишки отсюда
http_access allow CONNECT !SSL_ports

acl torrent_mime rep_mime_type -i ^application/x-bittorrent$        
acl torrent_mime rep_mime_type -i application/x-bittorrent
acl torrent urlpath_regex -i \.torrent$
http_access deny torrent !full
http_access deny torrent_mime !full
http_reply_access deny torrent_mime !full

acl numeric_IPs dstdom_regex ^(([0-9]+\.[0-9]+\.[0-9]+\.[0-9]+)|(\[([0-9af]+)?:([0-9af:]+)?:([0-9af]+)?\])):443
acl numeric_IP dstdom_regex ^([0-9]+\.[0-9]+\.[0-9]+\.[0-9]+)|(\[([0-9af]+)?:([0-9af:]+)?:([0-9af]+)?\])
http_access deny numeric_IPs !full
http_access deny numeric_IP !full
http_access deny CONNECT !full                                        <-до сюда

acl media rep_mime_type video/flv video/x-flv
acl mediapr urlpath_regex \.flv(\?.*)?$
acl media rep_mime_type application/x-shockwave-flash
acl mediapr urlpath_regex \.swf(\?.*)?$

##
acl porn url_regex "/etc/squid/filter/porn-social.txt"
http_access deny porn !full

acl master arp "/etc/squid/arc/master.txt"
http_access allow master

##Закрываем доступ к Flash
http_access deny mediapr !full !master
http_reply_access deny media !full !master
##

acl tor url_regex "/etc/squid/filter/tor.txt"                  <-и тут
http_access deny tor !full !master

acl razvlek url_regex "/etc/squid/filter/razvlek.txt"
http_access deny razvlek !full !master

acl student arp "/etc/squid/arc/student.txt"
http_access allow student

#запретить доступ всем кого нет в списках
http_access deny local