Какой выбрать прокси сервер под debian для клиентов терминального сервера с «молчаливой» авторизацией?

Доброго времени суток!
Прошу сильно не пинать, если нечто подобное было: поискал как мог - не обнаружил.
Если плохо искал - буду благодарен за ссылки.

Суть: имеется сетка с зоопарком windows машин (xp home (большая часть), 7, 8, 10), терминальным сервером (2008 r2) и debian шлюзом.
Благодаря усталости от зоопарка было принято решение перевести большую часть клиентов на thinstation. В связи с чем возник ряд проблем. В т.ч. и следующая: заставить пользователей авторизовываться на debain прокси с логином и паролем возможным не представляется. Поэтому вопрос: каким образом можно организовать авторизацию на проксе с логином и паролем учетки терминального сервера (например, но подходят любые хранящиеся на терминальном сервере данные)? Какую прокси под это дело выбрать и с какой аутентификацией? Какие сложности могут возникнуть в том или ином варианте (н-р: какие еще сервисы придется поднимать и насколько они прожорливы)?

Т.е. на тонком клиенте открываем браузер (с вбитыми настройками) и авторизируемся на прокси с логином и паролем терм. сессии. Молча (без всяких окон).

На debian шлюзе сейчас squid и 3proxy. AD/LDAP нет (и дел с ними до сих пор, к величайшему сожалению, не имел).

Буду благодарен за помощь.

...
Добавлю. Если выбирать squid и ntlm (Ad/LDAP), то:

Сервак старенький на двух xeon'ах 5405 (2 GHz) с 10 ГБ оперативы. 2008 R2.
Лицензия на win сервак одна и на нем уже крутятся терминалы с 1с + thunderbird клиенты на 20 пользователей (+ по мелочи).

1) Не станет ли добавление AD критичным (насколько она прожорлива) и вообще принято ли совмещать домен и терминалы (или лучше разделять на разное железо)?
1.5) Если совмещать не желательно, то какой LDAP на Debian лучше выбрать чтобы по граблям не ходить?
2) Часть машин останется на хомячках. Не станет ли это проблемой?