CityCat4

Нормальная практика, если на том месте, где стоит сервер, есть "руки", которые в случае чего смогут сделать некие элементарные действия. У меня так лет пять работал домашний сервак - VM на FreeBSD и прочие ВМ тут же. Но "рук" там не было и при падении FreeBSD - приходилось топать ногами.

На pfsense нужен белый IP и пакет VPN. racoon под FreeBSD (на котором основан pfsense) точно есть, strongswan по идее должен быть, pptp сервер должен быть наверняка - уж такого-то гумна... Сложнее наверное будет с клиентами под яббл, искать придется.

Такое обычно бывает когда команды
host 1.2.3.4
и
host nichego.net
(где вместо 1.2.3.4 - Ваш IP, а вместо nichego.net - Ваше доменное имя) возвращают разный результат, хотя должны одинаковый. Одна из самых первых антиспам-проверок. Нужно обратиться к провайдеру с просьбой изменить запись PTR в обратной зоне - прописать там nichego.net вместо автогенерируемого мусора.

Кроилово ведет к попадалову

pfsense - Это freebsd, на Freebsd есть dummynet.
Можно поставить прокси и сделав вывод в лог внешнему обработчику обсчитывать обьем постоянно и постоянно корректировать правила блокировки.

А до конфига сквида там не добраться? Настройка доступа по группам сильно нетривиальная вещь, делают ее все по-разному, видимо не смогли в веб-морду вынести.