[AMDBulldozer]

aldar, жаль, что Вы не указали топологию вашей сети. Вообще говоря, есть несколько способов решения Вашей задачи.
Приведу навсидку два первых попавшихся:
1. Можно проверять на proxy TTL поступающих пакетов (-m ttl -ttl-eq). Пакеты, которые направлены непосредственно на proxy будут иметь большее значение этого поля.
2. Если считать, что ваш proxy должен получать пакеты только с межсетевого фильтра, можно вообще отказаться от использования iptables и закрыть на нем все MAC-адреса, кроме адреса брандмауэра, при помощи ebtables