プロキシ既成は no_accessでリストならべとけば対応できるぞ。
さっきのは面倒だから記述はずしたけど、↓こんな感じだ

service http
{
type = UNLISTED
socket_type = stream
protocol = tcp
port = 80
wait = no
no_access = 192.168.9.1
no_access += 192.168.4.0
user = nobody
groups = yes
redirect = 192.168.3.5 8080
}

ipfw でフィルタリングすることだってできるぞ

10000 deny tcp from 192.168.3.9 to any 80
10010 deny tcp from 192.168.4.0/24 to any 80
65535 allow ip from any to any