prohibir navegación por puerto 80 y aceptarla solo por webproxy 8080

He configurado isa 2004 con las siguientes reglas:
- hacer webproxy por el puerto 8080
- abrir los paquetes salientes http de internal a localhost para que los
clientes se puedan comunicar con isa .
- he abierto los paquetes salientes http de localhost a external para que
pueda salir el isa a internet.

Con esto creo que debería poder navegar en los clientes con el proxy 8080
puesto en los navegadores.

Pues no me funciona, para que me funcione tengo que abrir http de internal
a external.
Y después de esto los clientes me navegan si les configuro el proxy 8080
pero también lo hacen por sin proxy por el puerto 80 estandar.

Como puedo hacer para que los clientes solo me naveguen a través del 8080?

Saludos!.
David. [MS MVP]