HTTP Proxy aus DMZ / Zugriff einschränken

Aus einer Gast-DMZ können die Gäste über den ASG-transparenten Proxy in das Internet.
Wie und was kann man sinnvoll einstellen, daß diese geproxyte Verbindungen ausschließlich ins Internet zugelassen werden und NICHT zu Webservern die sich im internen LAN befinden?.
Eine Pflege der Proxy Blacklists (alle WEbserver, GUIs, Drucker, Switche, etc im LAN) ist zu aufwendig).