Nat squid/dansguardian e transparent proxy

demo

Nella mia rete scolastica ho necessità di avere 2 tipologie di client che accedono tramite proxy al web:

fatclient: senza autenticazione ma filtrati da dansguardian
pcdocenti: con autenticazione ma non filtrati da dansguardian

I due metodi che ho provato:
a) impostare sui fatclient come proxy ip lan pfsense + porta 8080 e per i pcdocenti porta 3128
b) creare una rule che redirezioni il traffico verso ip lan pfsense da porta 3128 a porta 8080, settando poi exception iplist su dansguardian e/o Unrestricted IPs su squid

Entrambi validi, credo, MA se sul client lascio "nessun proxy" (la configurazione automatica che prende, ad es., un portatile che si collega in wifi) ecco che si naviga senza autenticazione né filtri. Insomma un bel buco nella sicurezza.
Ho provato con rule di redirezione dalla porta 80 verso porta 3128 ma non funziona.

Qualche idea?