Hola

Un tunel solo se puede parametrizar de un solo modo main-agressive, no se puede los 2 por cuestion de seguridad al iniciar fase 1

el link del tutorial original : https://community.adamnet.works/hc/en-us/articles/115002725594-Running-on-a-Transparent-pfSense-Bridge

Por que no haces unas rutas en los equipos?, las rutas las puedes enseñar por dhcp o las pones estaticas en los PC que necesitan.

Tambien puedes poner la ruta en el router que hace de puerta de enlace

@gersonofstone son muchos mas, pero no me deja ponerlo porque excede la longitud del post

@fabo81 Si es correcto. proxy transparente lo uso cuando tengo pocos clientes, no bloqueo https para no darme mala vida, pero "relentizo" las conexiones mediante los tipos de mime. Asi que youtube lo permitire a paso de "tortuga herida".

Cuando tengo mas de 100 usuarios, me voy por Proxy no transparente, por lo general las instituciones grande con gran cantidad de empleados son mas estrictos con dispositivos moviles, etc.

Ya en ese punto, he optamos por un proxy aislado, especial para ese tipo de conexion. pero lo importante es que el principal, no se sature.

@fabo81 Hola, gracias por responder, tengo creada 10 listas de control de sitios y 7 grupos ACL con distintas combinaciones de listas. Es una empresa grande y varias áreas. Algunas lista tienen mas de 100 sitios cargados.

Lo cierto es que cada vez que tengo que agregar sitios y y estoy jugando bastante con las listas me deja de funcionar. No se que puede ser que se dañe o quede corrupto en el SquidGuard.

Instalas SquidGuard, agregas un grupo de usuarios de tu proxy.

Creas una lista con el sitio permitido.

Le das acceso al grupo de usuarios a la lista con el sitio permitido.
Listo

Si, por ahi el asesor por vender, es un equipo no apto para tu red, yo lo uso en una red chica, ya con 512MB olvida de squid, bueno ya lo vivistes, saludos.

Si se puede hacer.

A nivel técnico: necesitas "cazar-amarrar" al usuario con la IP VPN, de esta forma cada ve que se conecte a la vpnclient siempre obtenga la misma IP.

Luego lo demás es pura regla de firewall.

Como se hace para amarrar el usuario vpn a una ip-vpn? investiga sobre: "client overrides" de openvpn.

saludos.