После долгой и упорной борьбы сочетание squid+iptables+виртуальная приватная сетка были побеждены - сквид отдается и только сетке, не открывая лишних портов.

Осталось переделать подсчет трафика и научить крон слать отчеты по нему на сендмыл (который тоже нужно осчастливить новым профилем) ;)

P.S. А, ну да. ftp был тоже научен отдаваться, правда в локальную сеть.