Perfect, my friend. Thanks again for your helpfulness. I managed to solve the problem, it was so simple that I was ashamed now. lol
Hug!

@mcury Bom dia.
Consegui fazer a configuração do wpad para passar pela VPN via DNS, não estava funcionando porque não tinha criado a interface de VPN e selecionado para que o squid a utilizasse como interface de proxy. O que falta agora, é que não consigo autenticar meu squid com o AD, mas isso tratarei em um outro tópico. Muito obrigado pelo apoio.

Bom Dia @maiconalves muito interessante e útil esta parametrização que realizaste no firewall pfsense. Utilizei aqui na minha rede para separar os celulares e ter um melhor controle sobre os mesmos. Funcionou direitinho. Obrigado pelo post e parabéns pela iniciativa em contribuir com os demais membros da comunidade pfsense.

Em proxy transparente, selecione apenas as VLANS 3 e 4 lá na parte "Transparent proxy interfaces".
Para esta mesma VLANS, coloque lá na parte de autenticação > local > Subnets That Don't Need Authentication ( 10.20.40.1/24 e 10.20.41.1/24)
O resto você usa o proxy no navegador da maneira que preferir

Outra coisa, o serviço dele ficando parando, dps de um tempo ele volta pra vermelho !

@italoaves
da pra fazer na swich que tenha suporte a VLAN

@michael-lopes De nada Michael, pode contar conosco aqui da comunidade.
Qualquer problema que tiver posta aqui que o pessoal eventualmente te ajuda, ou até mesmo se eu estiver online.

Importante sempre antes de qualquer projeto, é observar atentamente as necessidades do cliente, aplicações que ele usa, se ele tem AD ou não, e esses tipos de detalhes para já planejar bem desde o início.
Eu já passei por isso também, é normal =) abraços

mesma coisa aqui pra mim, principalmente no aplicativo do itaú.
já fiz bypass em umas 30 url's e uns 50 ips relacionados ao itau que consegui documentar e mesmo assim não funciona.

@DaddyGo Obrigado, vou verificar.

e não esqueça ✋
por exemplo (whitelist to our known things):

ssl.gstatic.com
discordapp.com
gateway.discord.gg
web.whatsapp.com
w1.web.whatsapp.com
w2.web.whatsapp.com
w3.web.whatsapp.com
w4.web.whatsapp.com
w5.web.whatsapp.com
w6.web.whatsapp.com
w7.web.whatsapp.com
w8.web.whatsapp.com
w9.web.whatsapp.com
w10.web.whatsapp.com
.google.pt
.google.com
.googleapis.com
.gstatic.com
.1e100.net
www.youtube.com
www.gmail.com
*.workplace.com 80/443
*.facebook.com 80/443
*.fbcdn.net 80/443
*.fb.me 80/443
*.fbsbx.com 80/443
*.workplace.com
*.facebook.com
*.fbcdn.net
*.fb.me
*.fbsbx.com
.teamviewer.com
.verisign.com
.verisign.net
.windowsupdate.com
.github.com
.easylist.to

Sem configurar proxy manualmente nos celulares só em modo transparente em splice all.

https://docs.netgate.com/pfsense/en/latest/nat/configuring-nat-for-a-voip-pbx.html

use o e2guardian sem fazer a interceptação ssl, vai fazer bloqueio por URI (dominio)

https://www.youtube.com/watch?v=zrBr0N0WrTY

Consegui via esse vídeo, perfeito meu brother!

Uso apenas uma WAN!

é um erro de autenticação ou um erro de conexão?
o que vês nos arquivos de log durante a conexão?