Provavelmente, sua melhor opção seria usar um proxy transparente por padrão para permitir o acesso ao URL de login do seu site de autenticação e a nenhum outro.
Depois de autenticados, você pode removê-los seletivamente das regras do proxy transpareny na sua tabela de firewall.
link pode se encaixar no projeto, embora eu não tenha usado ainda.