Чем централизованно контролировать доступ в интернет для средней организации?
pfsense (manual по настройке авторизации в AD)
В конторе, в которой я работал в 14-м году - весьма нехилой, весьма богатой и имеющей сеть филиалов "от Москвы до самых до окраин" доступ в тырнет был постороен довольно просто - все ходили через единый московский прокси (squid ессно), где были настроены и списки блокировки и авторизация в домене и доступ по группам. Бампинга не было, потому что в те времена было не особо актуально. 
Вам актуально будет офигительно как - потому что сейчас все кому ни день понаставили сертификатов, а надуть работодателя таким образом запросто - зашел например на mail.ru и внутри соединения (которое для squid непрозрачно) перешел на video.mail.ru, love.mail.ru и т.д.
Вариантов у Вас не особо много - кроме Kerio, про которое я ничего не скажу, кроме того, что знаю, что такое есть и squid - особо-то и нет ничего...