isso que vc pretende, não é simples; se REALMENTE não for possível deixar fwll+squid, vc precisará tomar bastante cuidado para não cair em "loop";
eu montei um cenário assim, um dia, e o único "paper" que encontrei foi este:
http://www.faqs.org/docs/Linux-mini/TransparentProxy.html#s6
mas insisto: "venda" a idéia de máquina única para fwll/proxy.