Eso depende, si no tienes presupuesto para un firewall independiente, debes de ley poner con el proxy, un script de iptables bien estructurado y no dara problemas todo se lo puedo controlar, además de usar otras tecnicas de denegación, yo lo he usado así durane años y nunca ha pasado mayor cosa, y si pasa todo se controla, no creo que exista mayor problema poner un proxy+iptables, es más si es proxy de ley debo enmascarar y hacer port forwarding para lo cual necesariamente se debe crear un script y eso ya de por si es un mini-firewall, no veo un proxy trabajando sin un script de iptables, me daria miedo, pero igual es mi humilde opinion.

Entrando en materia Firestarter es un proyecto casi abandonado desde hace años no soporta tarjetas virtuales ni más de dos NIC's, osea de ley el script de iptables, si tu interfaz que da servicio a tu LAN es eth0, pues esta bien crear una virtual aunque es mejor otra NIC, sea como sea, a esa subred debes darle acceso por el squid y hacer lo necesario en el iptables darle acceso al puerto del proxy, hacer forward para DNS, ftp, Etc, etc y cerrar lo que no sea necesario.

Keep The Fire Burning.....
Stryper 1988