Как запретить прямой доступ в интернет и/или разрешить только через прокси
 

Есть прокси сервер через который ходят работники.В Mozila поставил выход через прокси и один работник узнал как можно это снять и ходит напрямую.Как можно сделать что бы он не смог менять настройки браузера?

Убрать шлюз по умолчанию с сетевой карты и отнять админские привилегии.

По уму нужно сделать прозрачный прокси. Тогда его никто не сможет обойти, независимо от настроек браузера.А вдруг прокси не в одной с ним подсети?

Для начала нужно закрыть на файрволле шлюза доступ к внешней сети для всех внутренних адресов, кроме прокси-сервера.
В IE можно жёстко задать настройки прокси через групповые политики домена. Однако на сторонние программы действие групповых политик не распространяется. Посему нужно сделать так, чтобы интернеты вообще работали только с такими настройками.

Или настроить прозрачный прокси с аутентификацией через домен

у меня групповыми политиками ставится фаерфокс, назначается прокси и домашняя страница. для эксплорера точно так же.
прокс прозрачный, так что юзеру надо не только шлюз прописать в сетевом подключении, но и днс. а прав у него на это нету.
считаю это самым оптимальным решением.

Прозрачный прокси и аутентификация — две вещи несовместные.

почему это?

Потому что by design. Просто говоря, при использовании прозрачного прокси клиент даже не подозревает, что работает через прокси сервер (откуда и название), перенаправление трафика идёт на уровне шлюза, клиенту незачем беспокоиться об аутентификации, да и не может он данные аутентификации передать — тупо не знает кому, прокси ведь он не "видит".

ну так у меня так и есть. клиенты авторизуются в домене, после этого тем кому разрешено ходят в инет через прозрачный прокси. т.е. один раз авторизовавшись в домене, больше не надо нигде вводить пароли.

И причём тут аутентификация в прокси? В огороде бузина, в Киеве дядька. Вы бы ещё аутентификацию в почте приплели, гг. Да, и авторизация в домене может использоваться для аутентифкации в прокси (просто чтоб пароль десять раз не вводить), но не в случае прозрачного прокси. У прозрачного прокси аутентификации нет просто потому, что не может быть.