Est-ce que quelqu'un aurait une idée pour bloquer le surf non autorisé dans cette configuration:
 
- PC utilisateur, administrateur de son poste, peut changer le nom de son serveur proxy dans les options de connexion d'internet explorer (droits d'administration obligatoire pour cet utilisateur)
- Client microsoft firewall installé sur le poste de l'utilisateur et qui redirige tout vers le serveur proxy de l'entreprise  (client firewall obligatoire pour cet utilisateur)
- Proxy configuré par défaut dans les options d'internet explorer vers un serveur proxy d'entreprise
 
Parade trouvée par l'utilisateur:
- Changement du serveur proxy dans les options d'internet explorer vers un serveur proxy SQUID personnel situé chez l'utilisateur  (Pas de blocage par GPO pour la modification des options d'IE pour cet utilisateur)
 
Toutes les requêtes vers des sites normalement non autorisées passent. Le serveur proxy de l'entreprise ne sert alors plus que de relais http
 
Merci de votre aide

En général, quand on met un proxy, on bloque les autres ports (et surtout 20-21, 80 et 443), sauf si gros besoin. Config de firewall à faire sur le proxy, interface côté réseau local bien entendu.
En théorie, l'utilisation d'un autre proxy n'est pas relayé par le 1er proxy sur la route (à moins que je me trompe...)