Con pfSense, si lo configuras bien, no necesitarías para nada Open DNS ni nada externo, ya que utilizando proxy NO transparente, los clientes deben colocar en los navegadores web la configuración del proxy y cualquier página bloqueada incluso https no pasa a menos que esté aprobada.
Podes utilizar una lista lista negra ya creada como shallalist y de ahí incluir las otras que necesites.
Canguro Net, con lo que vi, no es absolutamente nada contra pfSense y SonicWall, es más enfocado a Firewall, algo que ya maneja también pfSense.
Si te pones a investigar, por ejemplo en Wikipedia sobre
pfSense, podrías tener algo bien sólido para demostrar todo lo que puede hacer y que poco a poco podrían implementar según las necesidades.
Tienen un foro multi-idioma, buen soporte para usuario final y otro adicional si el cliente lo quiere, de pago para que te atienda un experto.
Si no quieren gastar por un proxy por hardware que puede ser muy caro y muy robusto ya que fue fabricado para eso, sería muy tonto no utilizar algo por software, utilizar un equipo medio con buena refrigeración, ups, que levante logs para saber lo que hacen o no los usuarios para depurar más la navegación CON CERO COSTO, solo cobrarías la instalación y mantenimiento del mismo,
serían muy tontos.
En una Asociación tenían desechado un servidor P III Xeon con 768 Megas de RAM y un arreglo de discos de 20 gigas, administrando 25 usuarios con proxy, filtro de contenido, firewall y VPN SIN ningún problema.
En otro lugar tenemos un Dual Core con 2 gigas de RAM y un disco duro grande haciendo lo mismo con 2 WAN SIN problema.
Si se ponen a ver una pantalla de SonicWall, es muy similar a pfSense, todo se maneja por web o SSH por lo que no sería complicado hacer una guía por tu cuenta de lo que necesiten hacer.
Eso hago yo cuando me lo piden, guía escrita con imágenes o video guía, mostrando lo que pueden configurar y lo que les interesa.
Si siguen de terco, como ellos te van a pagar, asegurate de ponerlo por escrito porque vas a poner un aparato TP-Link que para mi es "marca patito feo", forzado con otro firmware y si ese TP-Link no tiene abanico interno o es muy pequeño, se va a quemar muy rápido.
Tampoco van a poder crecer en otras áreas. No le quito su mérito a dd-wrt porque lo he usado pero con equipos más robustos Linksys antes de ser comprado por Cisco, ya comprados por Cisco e incluso lo voy a seguir usando ahora que fueron comprados por Belkin, pero no con otros dispositivos que creo no van a dar el rendimiento.
Asegurate de dejar eso por escrito porque SIEMPRE al que hace el servicio o configuración es a quienes nos culpan y dejando todo escrito, nos protegemos. A mi me ha resultado cuando nos quieren reclamar algo y sacamos el documento escrito y firmado por el cliente.
Saludos.