Técnicas contra connect-back

Boas pessoal..
todos nós sabemos que firewalls n nos dão 100 % de segurança.. muitas firewalls e routers, apenas verificam conexoes de entrada... mas de dentro da rede, pra fora, vai tudo.. bem a minha ideia pra evitar essa "técnica" era atravez de um proxy, assim a rede interna só liga á Internet pla porta 80 e nada mais.. acho que ajuda bastante. imaginemos o seguinte eskema

[webserver] <----------> [proxy]<------------>[FreeBSD firewall] <---> Internet

actualmente tenho o FreeBSD a fazer natd e a redirecionar a porta 80 para o webserver, será que dá pra fazer isso no squid??

o que chegar da internet passar pelo freebsd e ser redirecionado para o proxy, o proxy depois redireciona para o webserver...

eu penso que esta seja uma boa soluçao.. porem nao sei se funciona bem.. (nc testei)
existe outras alternativas para evitar connect back?