[malysh!]

прописать в настройках браузера прокси-сервер »

отписываюсь по решению
настройки браузеров - заново перепинывать всю сеть, ведь у меня и так уже прокси - вся организация через него ходит, стоит тут недалеко в кабинете.
настраивать везде так, чтобы свой прокси прописывать не надо было, мутить чтобы авторизация на своем прокси происходила каким-то другим методом - это и есть перепинывать всю сеть
звиняйте за мой пафос, но как-то не айс
к тому же у провайдера - тоже не дураки, и ignorelist, и vulticulus заблокированы
можно, конечно, вместо имен писать в адресе ip (95.143.192.252 на момент написания), но не работает (может, неправильно пытался - опять же свой прокси)
опять же минус решения - отслеживать изменение ip анонимайзера
пытался настроить на сервере как вышестоящий прокси - тоже не вышло, думаю что опять же из-за разрешения клиентскими машинами dns-имен через мой прокси (потому что он, в свою очередь, разрешает через провайдера)
а отключать dns-сервер на своем прокси-сервере тоже не идет - отваливается нахождение контроллера домена (клиентские машины не могут после этого найти контроллер домена)
порочный круг получается
опять же минус именно этого решения правильно заметил Lonely_Mouse,

Бесплатные впн/прокси могут смотреть ваш трафик, а это небезопасно.»

у меня юзеры и так периодически почту теряют по раздолбайству, а тут еще это будет

Lonely_Mouse, что Вы имели в виду под

на стороне »

?
и я, честно говоря, до конца не понял смысл решения
можно, пожалуйста, подробнее ?

на данный момент, используя платный vpn, добился того, что
- все компы ходят в инет через комп-шлюз, но фильтр срабатывает
- комп-шлюз способен гарантированно обходить dns-фильтр, если разрешает dns-имена через vpn, но этого позволить я ему не могу - тогда фильтр для всех будет обходится, а это как раз то, чего нужно избежать (вплоть до отказа от самой идеи)
- контроллер домена может служить dns-сервером с фильтрацией - на нем по умолчанию подразумевается dns-сервер, и он на данный момент способен разрешать dns-имена через провайдера

осталось дело за малым :
заставить клиентские машины разрешать dns-имена через разные серверы, в зависимости от того, к какой группе в домене принадлежит пользователь, входящий на машину