Citação Postado originalmente por Josevaldo
Amigo, tentando ajudar com suas duvidas faça o seguinte:

1º A interface q vc deve setar é a out, ou seja, por onde o link chega pra tuas maquinas;

2º Quanto ao direcionamento para o proxy, você pode deixar dessa forma mesmo, (sem a interface), em Action vc pode tbm optar pela dst-nat e setar tanto o ip como a porta onde esta rodando o teu proxy (com dst nat, vc pode redirecionar para outra maquina/ip);

3º Para impedir o acesso externo tanto de teu proxy, como do dns :d, faça o seguinte:
vá em Ip>Firewall>Filter Rules.. e adiciona a seguinte regra

add chain=input in-interface="Link" protocol=tcp dst-port=3126 \
action=drop comment="Prote ao Externa Proxy" disabled=no
add chain=input in-interface="Link" protocol=tcp dst-port=53 \
action=drop comment="Prote ao Externa Dns" disabled=no
add chain=input in-interface="Link" protocol=udp dst-port=53 \
action=drop comment="" disabled=no

onde "Link" é o nome da tua interface de saida do link; 3126 é a porta do teu proxy.
Para testar peça a um conhecido pra setar no browser dele antes da regra o teu ip valido com a porta do proxy e o mesmo ira consegui navegação... depois da regra pronta peça ao memso pra tentar novamente e vc verá q a regra irá dropar as tentativas de conexão e impedirá o uso de teu proxy externamente.
PS.: Essas cofigurações é a que uso atualmente no meu mk, se eu tiver equivocado, desculpe por tentar ajudar.
Tenta ai e posta depois os resultado...
Josevaldo...ta funfando blzinha...mas to ainda com 1 duvida, setando a interface como out a q se refere ao link da internet q chega no meu MT, colocando ela ou nao continua a mesma coisa...isso tem explicaçao?? :?
Ahhh outra coisa a porta 53 é do DNS??

E valeu mesmo pela dica abraçao!!!!!!