Ограничение приложений в сети

Имеется сервер. используется gdm пользователи имеют удаленный доступ по XDMCP
Но проблема следующая: этот сервер - шлюз в инет для всей сети(Squid+iptables) можно ли запретить доступ в интернет всем приложениям кроме Squid?
На вскидку знакомый сказал, что можно использовать маркировку пакетов и iptables, но это будет сложно.
Я про маркировку пакетов ничего не знаю :( можете подсказать доки(можно английский) или другой вариант.