gw# cat /boot/loader.conf
pf_load="YES"
pflog_load="YES"
gw# cat /etc/rc.conf
hostname="gw"
defaultrouter="192.168.0.10"
ifconfig_de0="inet 192.168.1.2 netmask 255.255.0.0"
sshd_enable="YES"
gateway_enable="YES"
named_enable="YES"
sendmail_enable="NO"
squid_enable="YES"
dumpdev="NO"
pf_enable="YES"
pf_rules="/etc/pf.conf"

gw# cat /usr/local/etc/squid/squid.conf
acl localnet src 192.168.0.0/16 # RFC1918 possible internal network
acl SSL_ports port 443
acl Safe_ports port 80          # http
acl Safe_ports port 21          # ftp
acl Safe_ports port 443         # https
acl Safe_ports port 70          # gopher
acl Safe_ports port 210         # wais
acl Safe_ports port 1025-65535  # unregistered ports
acl Safe_ports port 280         # http-mgmt
acl Safe_ports port 488         # gss-http
acl Safe_ports port 591         # filemaker
acl Safe_ports port 777         # multiling http
acl CONNECT method CONNECT
http_access allow localhost manager
http_access deny manager
http_access deny !Safe_ports
http_access deny CONNECT !SSL_ports
http_access allow localnet
http_access allow localhost
http_access deny all
http_port 3128 intercept
cache_dir ufs /var/squid/cache/squid 1000 16 256
coredump_dir /var/squid/cache/squid
refresh_pattern ^ftp:         &n... 1440    20%     10080
refresh_pattern ^gopher:        1440    0%      1440
refresh_pattern -i (/cgi-bin/|\?) 0     0%      0
refresh_pattern .               0       20%     4320
cache_mem 1024 MB
maximum_object_size 32768 KB
maximum_object_size_in_memory 1024 KB
acl blocksite dstdomain "/usr/local/etc/squid/blocksite.list"
http_access deny all blocksite

gw# cat /etc/pf.conf
rdr on de0 proto tcp from any to any port 80 -> 192.168.1.2 port 3128

Что получается. Если убрать intercept и прописать прокси на клиенте, то прокси работает. Как допилить все это дело?

• Прозрачный прокси с одним сетевым интерфейсом,ipmanyak, 17:12 , 28-Дек-12

Может я и не прав, но мне кажется, что ваш сквид должен иметь два IP (пусть даже на одном интерфейсе, в качестве алиаса), например 192.168.1.2  для вашей локали, и какой-то еще, который для инета, пусть даже из другой сети), тогда вы должны заворачивать на фаере, именно на тот второй Ip  - инетовский.
Ваш комп с кальмаром желательно должен иметь два физических интерфейса, это более правильно и проще в настройках, в том числе для фаера.
Может воткнете вторую сетевуху, и проблемы автоматически исчезнут?
Прозрачность имеет минусы (например в авторизации), вы в курсе этих минусов?