Шлюз с фильтрацией доступа

[Integra]

Стоит следующая задача: организовать шлюз на основе Ubuntu Server 9.10. DHCP-сервер раздаёт рабочим станциям одни и те же ip, узнавая их по mac'у. Есть несколько моментов:

1. Для каждой рабочей станции должны быть определены отдельные правила доступа к ресурсам. Например на одной машине все сетевые приложения должны иметь доступ во внешнюю сеть, для другой должны открываться только некоторые сайты, для третьей вообще должно работать только одно сетевое приложение (адрес, куда оно стучится, и порт известны). 

2. Желательно наличие статистики потребляемого трафика.

Ещё одно пожелание - чтобы не пришлось работать с прокси-сервером. Хочется сделать так, чтобы не пришлось прописывать во всех клиентских приложения прокси, а так же назначать порты для всех приложений - вдруг чего забудется или в будущем будет установлено новое приложение на машину, для которой разрешён полный доступ в интенет.

PS: Знаю, что существует тема про шлюз. Но она настолько огромная, что мне не удалось найти там подходящее решение. Не ругайтесь, я не прошу пошаговую инструкцию. Прошу лишь поделиться своим опытом и дать совет, что именно ставить/настраивать и куда смотреть при настройке. Заранее спасибо.

[bober_man]

1. Маскарадинг средствами IPTABLES (так Вы дадите полный доступ клиенту), НТВ (так порежете скорость по всем портам и выпустите машинку только по одному порту), хотя можно по умолчанию всё в deny в iptables для всей сети, а далее уже правилами разрешать, SQUID+delaypools+SAMS. Решать Вам.
2. SQUID+SAMS, TraffPro, Stargazer. Тут уж что душе угодно. Смотря что хотите считать
3.Чтобы, как Вы выразились ,"не работать с прокси" то SQUID в транспарент режим. С остальными вариантами ничего прописывать не нужно.