Web-Proxy (transparente) + rede roteável

Pessoal,

Vejam o dilema... Eu preciso que clientes meus conectados via PPPoE passem pelo meu web-proxy rodando no MK, mas existe um porem, a rede que chega ao MK é não roteável, assim:

roteador do provedor (200.200.200.1/24)
- servidor gw provedor (200.200.200.2/24 - eth0)
- servidor gw proveodr (172.20.0.161/30 - eth1)
-- servidor gw pop (172.20.0.164/30 - eth0)
-- servidor gw pop (172.20.0.1/29 - eth1)
--- servidor POP remoto EMA (172.20.0.11/29 - MK - interface backbone)
--- clientes conectados ao EMA (200.100.200.2-254/24)

Eu tenho rotas desde o reteador até o final levando os dados que estão indo perfeitamente (pinguem em 201.35.16.129 que cai diretamente na interface gw dos clientes PPPoE do POP EMA). Os clientes conectam e quando eu redireciono o tráfego da porta 80 para o web-proxy, para de trafegar pois a rede 172.20.0.0/29 ou apenas o host 172.20.0.11 não estão sendo mascarados.

Se eu mascarar apenas o host ou a rede os clientes não cehgarão mais a internet com o IP correto (o deles da conexão PPPoE). Como devo proceder?