Подробная инструкция по настройке Squid 7.5 (Squid proxy, krb+ldap auth, ssl-bump, log in JSON, delay, cache)

Инструкция по настройке Squid HTTP-proxy в корпоративной среде.

В данной инструкции решается задача по настройке прокси-сервера Squid для контроля интернет-доступа пользователей.

Что включает в себя статья:

1. Подготовка OpenSSL и Squid.

   • Загрузка, сборка и установка пакета OpenSSL.

   • Загрузка, сборка и установка пакета Squid.

2. Настройка запуска через systemd.

3. Настройка аутентификации пользователей на основе Kerberos и LDAP.

   • Создание токена keytab – Windows AD DC.

   • Настройка клиентской части Kerberos на сервере со Squid.

4. Настройка SSL-Bump (MITM).

5. Настройка лога и перенаправление на сборщик логов.

6. Настройка дополнительных фич.

   • Настройка кэширования.

   • Настройка ограничения скорости.

7. Пример простого полного конфигурационного файла.

Squid будет устанавливаться не в стандартную директорию, а так же использовать OpenSSL установленный рядом (что бы не заморачиваться с уже установленным OpenSSL или не навредить системе + получим последнюю версию OpenSSL).

ВНИМАНИЕ: В статье часто используются блоки кода с командами. Перед выполнением рекомендуется просмотреть что вы делаете и обратить внимание на комментарии, в них могут содержаться важные замечания.

1) Подготовка OpenSSL и Squid.

В первую очередь необходимо определиться с модулями (ключами компиляции) Squid и OpenSSL.

Лучше использовать необходимый минимум, что бы уменьшить количество точек обхода защиты (Данная статься скорее о настройке, чем о безопасности…).

Загрузка, сборка и установка пакета OpenSSL.

Официальный репозиторий: https://github.com/openssl/openssl.

wget https://github.com/openssl/openssl/releases/download/openssl-3.6.1/openssl-3.6.1.tar.gz
tar -xzf openssl-3.6.1.tar.gz
cd openssl-3.6.1
	# apt install build-essential pkg-config # Установка компилятора C
./config shared --prefix=/opt/squid/openssl 
	--openssldir=/opt/squid/openssl 
	-Wl,-rpath=/opt/squid/openssl/lib64		# -Wl,... говорит компилятору: «передай всё, что после запятой, линковщику # -rpath=/opt/squid/openssl/lib опция для линковщика: «встрой в исполняемый файл путь к библиотекам» 
	
make 
make install

ldd /opt/squid/openssl/bin/openssl # Проверить зависимости и доустановить при их отсутствии

Загрузка, сборка и установка пакета Squid.

Официальный репозиторий: https://github.com/squid-cache/squid

# Нужны зависимости для пакета
apt install 
	libtirpc-dev 
	libldap2-dev 
	libsasl2-dev 
	pkg-config 
	libpam0g-dev 
	libkrb5-dev 
	libtdb-dev 
	libcap-dev 
	libnetfilter-conntrack-dev 
	libcppunit-dev 
	heimdal-clients

# GitHub - https://github.com/squid-cache/squid
# Вы можете использвоать последнюю всерию, а совместимость инструкций squid посмотреть на официальном файле в документации: https://www.squid-cache.org/Versions/v7/cfgman/index_all.html#toc_accept_filter
wget https://github.com/squid-cache/squid/releases/download/SQUID_7_5/squid-7.5.tar.gz
tar -zxf squid-7.5.tar.gz
cd squid-7.5


# Конфигурация может пройти успешно, но функционал будет недоступен из за нехватка какой то из библиотек
# Внимательно иследуйте ошибки и предупреждения
# КОММЕНТАРИИ УДАЛИТЬ перед применением
./configure 
  --prefix=/opt/squid                           # Основной каталог установки Squid
  --sysconfdir=/opt/squid/etc                   # Каталог для конфигурационных файлов (squid.conf и др.)
  --localstatedir=/opt/squid/var                # Базовый каталог для переменных данных (логи, кэш, PID и т.д.)
  --libexecdir=/opt/squid/libexec               # Каталог для вспомогательных исполняемых файлов (например, ssl_crtd)
  --with-swapdir=/opt/squid/var/cache/squid     # Директория кэша на диске
  --with-logdir=/opt/squid/var/log/squid        # Директория для лог-файлов
  --with-pidfile=/opt/squid/var/run/squid.pid   # Путь к файлу PID процесса Squid
  --with-default-user=proxy                     # Пользователь, от которого будет запускаться Squid
  --enable-auth-negotiate=kerberos              # Поддержка аутентификации Negotiate/Kerberos
  --enable-auth-basic=LDAP,PAM                  # Поддержка Basic-аутентификации через LDAP и PAM
  --enable-external-acl-helpers=time_quota,unix_group,SQL_session,file_userip,kerberos_ldap_group,LDAP_group   # Внешние ACL-хелперы для расширенного контроля доступа
  --enable-icap-client                          # Поддержка ICAP-протокола (интеграция с антивирусами и DLP)
  --enable-delay-pools                          # Включение ограничения пропускной способности (traffic shaping)
  --enable-cache-digests                        # Поддержка Cache Digests для кооперативного кэширования
  --enable-follow-x-forwarded-for               # Учитывать заголовок X-Forwarded-For при определении IP клиента
  --enable-eui                                  # Поддержка определения MAC-адреса клиента (EUI-48/EUI-64)
  --enable-esi                                  # Поддержка Edge Side Includes (для кэширования динамических фрагментов)
  --enable-icmp                                 # Использовать ICMP для оценки сетевой задержки (pinger)
  --enable-wccp                                 # Поддержка Web Cache Communication Protocol (Cisco и др.)
  --enable-linux-netfilter                      # Интеграция с Netfilter (для TPROXY и прозрачного проксирования)
  --enable-storeio=rock                         # Использовать storeio "rock" — высокопроизводительный кэш-движок на основе SQLite
  --enable-removal-policies=heap,lru            # включает все доступные политики удаления объектов из хранилища (например, heap, LRU‑производные и др.)
  --disable-arch-native                         # Отключить оптимизации под конкретную архитектуру CPU (для переносимости)
  --disable-translation                         # Отключить локализацию интерфейса (оставить только английский)
	# для ssl-dump:
  --enable-ssl 								 # включает поддержку ssl режима
  --enable-ssl-crtd                             # Включить генерацию сертификатов для HTTPS-трафика (SSL Bump) # генерацией сертификатов занимается отдельный процесс, а не сам прокси сервер.
  --with-openssl=/opt/squid/openssl             # Указать собственную сборку OpenSSL (важно для SSL Bump)


make all
make install

# Проверить завивимости, скорее всего чего то будет не хватать
ldd /opt/squid/sbin/squid
# Установим необходимую зависимость для работы Squid и AD
sudo apt-get install libsasl2-modules-gssapi-mit 

2) Настройка запуска через systemd.

Создаем файл сервиса /etc/systemd/system/squid.service c содержимым:

[Unit]
Description=Squid Web Proxy Server (custom build)
Documentation=man:squid(8)
After=network.target network-online.target nss-lookup.target

[Service]
# Путь к файлу keytab можно указать здесь или напрямую в squid.conf > "auth_param negotiate program...-k <FullPath>", в моем случае укажу там
# Environment=KRB5_KTNAME=/opt/squid/etc/squid.keytab
Type=forking
PIDFile=/opt/squid/var/run/squid.pid
ExecStartPre=/opt/squid/sbin/squid -z                     # Инициализация кэша Squid
ExecStart=/opt/squid/sbin/squid
ExecReload=/opt/squid/sbin/squid -k reconfigure
ExecStop=/opt/squid/sbin/squid -k shutdown
User=root                                                                  # Squid запускается от root, для использования socket, потом переходит в режим пользователя указанного в конфигурации.
Group=root
LimitNOFILE=65536
# Restart=on-failure
# RestartSec=10

[Install]
WantedBy=multi-user.target

3) Настройка аутентификации пользователей на основе Kerberos и LDAP.

Потребуется: – Пользователь Active Directory (AD) для Kerberos и LDAP, создается в оснастке “Пользователи и компьютеры”. – Токен keytab сгенерированный на DC AD, для Kerberos аутентификации. – Настроить клиентскую часть Kerberos на сервере со Squid. – Настроить конфигурацию Squid на использование хелперов работы с Kerberos и LDAP. – Настройка аутентификации пользователей на основе Kerberos. – Настройка определения группы пользователя на основе LDAP.

Создание токена keytab – Windows AD DC

Регистрация на DC AD SPN аккаунта (создание keytab):

# Создать учетку пользователя в AD

# Регистрируем SPN для этой учётной записи AD
# setspn /S <Принцепал> <sAMAccountName пользователя>
setspn /S HTTP/servername.domain.ru ADUserSquid
# Проверяем
setspn /L squid
# Генерируем keytab
ktpass /princ HTTP/servername.domain.ru@DOMAIN.RU `
	/mapuser ADUserSquid@DOMAIN.RU `
	/crypto ALL ` # Для простоты можно добавить все кодировки в файл
	/ptype KRB5_NT_PRINCIPAL `
	/pass password_ADUserSquid `
	/out C:squid.keytab
# Проверяем
setspn /L squid

### Если в keytab помещали толькуо одну кодировку, можно добавить в 1 файл keytab
### AES128 — ДОБАВЛЯЕМ к существующему файлу
# ktpass /princ HTTP/servername.domain.ru@DOMAIN.RU `
#   /mapuser ADUserSquid@DOMAIN.RU `
#   /crypto AES128-SHA1 `
#   /ptype KRB5_NT_PRINCIPAL `
#   /pass password_ADUserSquid `
#   /in C:squid.keytab `
#   /out C:squid.keytab

# Если нужно удалить SPN
# setspn /D HTTP/servername.domain.ru ADUserSquid

# Копируем C:squid.keytab на сервер squid

# Зададим файлу следующие права:
chown proxy:proxy /opt/squid/etc/squid.keytab
chmod 600 /opt/squid/etc/squid.keytab

# Если нужно проверить, что keytab содержит нужный SPN (linux)
klist -kte squid.keytab
	# Keytab name: FILE:squid.keytab
	# KVNO Timestamp           Principal
	# ---- ------------------- ------------------------------------------------------
	#   11 01/01/1970 03:00:00 HTTP/servername.domain.ru@DOMAIN.RU

Должен быть ТОЛЬКО ОДИН пользователь, сопоставленный одной записью SPN (HTTP/<имя сервера с сервисом Squid в нижнем регистре>@<realm Active Directory в верхнем регистре>) Если несколько разных пользователей сопоставленных с записью SPN, то проверка подлинности Kerberos будет ВСЕГДА НЕУДАЧНОЙ

Настройка клиентской части Kerberos на сервере со Squid.

Установка:

### Подготовка
### ВЫПОЛНЯЙТЕ ОБДУМАННО!!!
# Остановить и удалить winbind, samba, если был установлен до этого squid с авторизацией в AD через NTLM
#	sudo systemctl stop winbind smbd nmbd
#	sudo apt purge winbind samba samba-common smbclient -y
#	sudo apt autoremove -y
# Удалить старые конфиги (если есть)
#	sudo rm -f /etc/samba/smb.conf
#	sudo rm -f /etc/krb5.conf

# Ставим нужные lib
sudo apt install -y 
    krb5-user     # если не стало то проверить есть ли зависимость libkrb5-3 - может быть версия зависимости таже что нужна просто "патченная осью OS"
    libkrb5-dev 
    libldap2-dev 
    libsasl2-dev 
    ldap-utils

Содержимое файла /etc/krb5.conf

[libdefaults]
	default_realm = DOMAIN.RU          # Основной домен AD
	dns_lookup_realm = false                  # Не искать realm через DNS
	dns_lookup_kdc = true                     # Искать контроллеры через DNS SRV-записи
	ticket_lifetime = 24h                     # Время жизни билета
	renew_lifetime = 7d                       # Время обновления билета
	forwardable = true                        # Разрешить делегирование билета
	rdns = false                              # Не использовать обратный DNS (улучшает безопасность)
	
	# Используйте для отключения контроля кодировки 
	# (закоментируйте default_tgs_enctypes, default_tkt_enctypes, permitted_enctypes, что бы не переопределяли allow_weak_crypto)
	# allow_weak_crypto = true

# Установить определенный AES
	# - Default Ticket Granting Service encryption types. Определяет список шифров, которые клиент будет запрашивать по умолчанию, когда обращается к сервису (TGS) за билетом доступа к конкретной службе (например, к HTTP-сервису Squid).
	# Когда ваш браузер или утилита kinit запрашивает билет для HTTP/servername...`, она скажет контроллеру домена: «Пожалуйста, выдай билет, зашифрованный только через `aes256-cts-hmac-sha1-96`». Она даже не будет упоминать другие типы (AES128, RC4, DES).
	default_tgs_enctypes = aes256-cts-hmac-sha1-96  # aes128-cts-hmac-sha1-96
		# Default Ticket (TGT) encryption types. Определяет список шифров, которые клиент будет запрашивать по умолчанию при первоначальной аутентификации для получения TGT (Ticket Granting Ticket) — главного билета сессии пользователя.
		# При входе в домен система попросит контроллер выдать главный билет (TGT), зашифрованный только через `aes256`.
	default_tkt_enctypes = aes256-cts-hmac-sha1-96  # aes128-cts-hmac-sha1-96
		# Permitted encryption types. Он задает «белый список» шифров, которые системе разрешено использовать вообще.
	
	permitted_enctypes = aes256-cts-hmac-sha1-96    # aes128-cts-hmac-sha1-96 rc4-hmac

[realms]
	DOMAIN.RU = {
		kdc = DC1.domain.ru						# Контроллер домен
		kdc = DC2.domain.ru
		admin_server = DC1.domain.ru				# Сервер администрирования
		default_domain = domain.ru
	}

[domain_realm]
	.domain.ru = DOMAIN.RU				# Автоматическое сопоставление домена
domain.ru = DOMAIN.RU

# Проверяем keytab
# Пробуем получить билет
kinit -V -k -t /opt/squid/etc/squid.keytab HTTP/servername.domain.ru@DOMAIN.RU
# Смотрим билет
klist
# -----------------  Если не прошло
	### Проверьте кодировку. может AES не та 
	# очистите кэш
	kdestroy -A
# -----------------

visible_hostname servername.DOMAIN.RU
httpd_suppress_version_string on
cache_effective_user proxy

http_port 3128

debug_options ALL,1 33,2 28,2 50,2 # подробный лов для debug
access_log stdio:/opt/squid/var/log/squid/access.log
cache_log stdio:/opt/squid/var/log/squid/cache.log

# Аутентификация Kerberos
auth_param negotiate program /opt/squid/libexec/negotiate_kerberos_auth 
    -d /
    -k /opt/squid/etc/squid.keytab /
    -s HTTP/servername.domain.ru@DOMAIN.RU
auth_param negotiate children 20
auth_param negotiate keep_alive on

# Доступ всем прошедшим аутентификацию
acl auth proxy_auth REQUIRED
http_access allow auth

visible_hostname servername.DOMAIN.RU
httpd_suppress_version_string on
cache_effective_user proxy

http_port 3128

access_log stdio:/opt/squid/var/log/squid/access.log
cache_log stdio:/opt/squid/var/log/squid/cache.log

auth_param negotiate program /opt/squid/libexec/negotiate_kerberos_auth 
    -d 
    -k /opt/squid/etc/squid.keytab 
    -s HTTP/servername.domain.ru@DOMAIN.RU

############################################################################
# АУТЕНТИФИКАЦИЯ LDAP. Поиск пользователя в группе AD
external_acl_type ldap_Squid_ADGroup_InternetAccess 
	ttl=300 negative_ttl=60 
	%LOGIN /opt/squid/libexec/ext_kerberos_ldap_group_acl 
    -g ADGroup_InternetAccess 
    -D DOMAIN.RU 
    -u ADUserSquid@DOMAIN.RU 
	-p password_ADUserSquid   # иной способ передачи пароля не пройдет, только в явном виде
	-l ldap://DOMAIN.RU
# Должно идти после инструкций external_acl_type
acl politics_Squid_ADGroup_InternetAccess_From_AD external ldap_Squid_ADGroup_InternetAccess

acl politics_authenticated proxy_auth REQUIRED
# Запрет для не авторизованных
http_access deny !politics_authenticated
# Доступ для групп AD - ADGroup_InternetAccess
http_access allow politics_Squid_ADGroup_InternetAccess_From_AD
# Запретить все остальное
http_access deny all

# На сервере Squid

### Хелпер ext_kerberos_ldap_group_acl 
echo "ADUserSquid@DOMAIN.RU ADGroup_InternetAccess" | 
sudo -u proxy /opt/squid/libexec/ext_kerberos_ldap_group_acl 
    -n 
    -g ADGroup_InternetAccess 
    -D DOMAIN.RU 
    -u ADUserSquid@DOMAIN.RU
    -p "$(cat /opt/squid/etc/ldap.pass)"   # или сразу password_ADUserSquid
    # -p password_ADUserSquid 
    -l ldap://dc1.DOMAIN.RU # Можено указать конкретный DC
    
###################

### Хелпер negotiate_kerberos_auth 
sudo -u proxy /opt/squid/libexec/negotiate_kerberos_auth 
	-k /opt/squid/etc/squid.keytab 
	-s HTTP/servername.domain.ru@DOMAIN.RU
# Если просто ожидает (зависло) - то все OK, по крайней мере на уровке keytab и принцепала

4) Настройка SSL-Bump (MITM).

ssl_bump <action> [!]acl ...
	# <action>: Что делать с трафиком (splice, bump, peek, stare, terminate).
	# [!]acl_name: Необязательное условие. Если указан ACL, действие применяется только если запрос соответствует этому ACL. Знак ! инвертирует условие («если НЕ соответствует»)

- На `SslBump1`: Squid читает `ClientHello` (видит SNI), но не завершает рукопожатие с клиентом сразу. Он переходит к шагу 2.

- На `SslBump2`: Squid соединяется с сервером, получает его настоящий сертификат, анализирует его (можно проверить ACL по имени в сертификате, issuer, сроку действия), но еще не отправляет клиенту поддельный сертификат.

# 1. Определяем этапы
acl step1 at_step SslBump1 # ClientHallo
acl step2 at_step SslBump2 # ClientHallo + Certificate
acl step3 at_step SslBump3 # как обычный HTTP-трафик внутри туннеля. Доступны методы HTTP, полные URL, заголовки, куки.

# 2. Списки доменов
acl sites_to_bypass ssl_dom_regex (google.com|bank.ru|.*.local$)
# Тоже самое только через файл 
acl sites_to_bypass regex "/etc/squid/lists/bypass_regex.txt"
	# Каждая строка - это отдельное регулярное выражение
	# Экранировать точки нужно обязательно
	# google.com
	# bank.ru
	# .*.local$
acl sites_to_bypass dstdomain "/etc/squid/lists/bypass_sites.txt" 
	# для файла Один домен на строку
	# Чтобы охватить домен и все его поддомены, ставь точку в начале (.domain.com).
	# Комментарии начинаются с `#`.

# ssl_cert_error - Aвтоматически попадает в категорию «плохих», если **проверка сертификата сервера выявила ошибку**.
	# Это встроенный механизм Squid для валидации SSL-сертификатов на этапе `SslBump2` (когда Squid уже получил сертификат от целевого сайта, но еще не отдал свой клиенту).
acl bad_certs ssl_cert_error

# 3. Логика Step 1 (SNI)
# Если домен в списке исключений - сразу делаем туннель (splice), даже не смотрим сертификат сервера.
# Это экономит ресурсы и гарантирует 100% совместимость.
ssl_bump splice step1 sites_to_bypass

# Если домен в списке блокировки - рвем сразу.
# ssl_bump terminate step1 blacklisted_domains

# Для всех остальных - смотрим дальше (peek), чтобы получить сертификат сервера.
# Смотрим на ClientHello всех соединений (чтобы узнать SNI/домен)
ssl_bump peek step1

# 4. Логика Step 2 (Сертификат сервера)
# Если сертификат вызывает ошибки (истек, неверное имя) - рвем.
ssl_bump terminate step2 bad_certs

# Если сертификат от доверенного публичного CA и сайт не требует инспекции - можно сделать splice.
# (Здесь мы используем преимущество peek: мы видели сертификат, решили не ломать и пробросили оригинал).
ssl_bump splice step2 trusted_public_sites

# Для всего остального - применяем полную подмену (bump).
# Мы уже видели сертификат (благодаря peek на шаге 1 и переходе сюда), теперь генерируем свой.
ssl_bump bump step2

# 5. Логика Step 3
# Если мы дошли сюда, значит туннель с подменой установлен. Просто продолжаем работу.
ssl_bump splice step3

Подготовка Системы и Squid для SSL-Bump

# openssl # Добавьте следующую строку в раздел [v3_ca] файла конфигурации openssl.cnf 
	# Разрешает использовать этот сертификат для подписи других сертификатов
	# Разрешает использовать этот ключ для подписи списков отозванных сертификатов
	keyUsage = cRLSign, keyCertSign

# Подготовьте среду для хранения SSL-сертификатов
mkdir /opt/squid/etc/ssl -p
chown proxy:proxy /opt/squid/etc/ssl -R
chmod 700 /opt/squid/etc/ssl -R
cd /opt/squid/etc/ssl
# Создаем самоподписанный сертификат
openssl req -new -newkey rsa:4096 -sha256 -days 365 -nodes -x509 -extensions v3_ca -keyout squid_ca.pem -out squid_ca.pem
# Преобразуйте созданный сертификат в формат DER
openssl x509 -in squid_ca.pem -outform DER -out squid_ca.der
	# Экспортируйте сгенерированный сертификат на клиентские компьютеры и установите его на них как сертификат центра сертификации. Способ выполнения этого действия зависит от браузера и операционной системы клиента

# Создайте новую базу данных SSL для сервера Squid:
# Обатитье внимание, директория ssl_db должна создаваться сама при выплнении команды
mkdir /opt/squid/var/lib -p
/opt/squid/libexec/security_file_certgen -c -s /opt/squid/var/lib/ssl_db -M 4MB
chown proxy:proxy /opt/squid/var/lib -R

# Прослушиваемый порт
http_port 3128 ssl-bump cert=/opt/squid/etc/ssl/squid_ca.pem generate-host-certificates=on dynamic_cert_mem_cache_size=4MB

# Этапы проверки SSL
acl step1 at_step SslBump1
acl step2 at_step SslBump2
acl step3 at_step SslBump3

# Политика доменов без SSL-инспекции
acl politics_sites_no-inspection dstdomain "/opt/squid/etc/sites_no-inspection"

# Проверяем сертификат сервера на ошибки (истек, самоподписанный, имя не совпадает и т.д.)
# Создаем ACL, который истинен, если есть ЛЮБАЯ из перечисленных ошибок
# Squid объединяет строки с одинаковым именем acl по OR
acl politics_bad_certs ssl_error certHasExpired		# Срок действия сертификата истек ERR_CERT_DATE_INVALID
acl politics_bad_certs ssl_error certNotYetValid	# Сертификат еще не начал действовать
acl politics_bad_certs ssl_error certUntrusted		# Издатель сертификата (Certificate Authority, CA) не доверяется Squid'ом
acl politics_bad_certs ssl_error certSelfSigned		# Сертификат подписан самим же владельцем сайта, а не независимым центром
acl politics_bad_certs ssl_error certDomainMismatch	# Имя домена, к которому ты обращаешься, не совпадает с именем, указанным в сертификате

# Пропускать без SSL-инспекции SNI из списка
ssl_bump splice step1 politics_sites_no-inspection

# Смотрим SNI и переходим к шагу 2, чтобы получить сертификат сервера.
ssl_bump peek step1

# Теперь у нас есть сертификат сервера. Проверяем его валидность.
# Если сертификат плохой -> рвем соединение.
# ssl_bump terminate step2 politics_bad_certs

# вскрываем (bump) все остальные соединения
# Сюда попадут все, кроме банков и сайтов с плохими сертификатами
ssl_bump bump step2
# Просто продолжаем работу
ssl_bump splice step3

# Укажите расположение и параметры исполняемого файла для генератора сертификатов. security_file_certgen -h #help
sslcrtd_program /opt/squid/libexec/security_file_certgen -s /opt/squid/var/lib/ssl_db -M 4MB

5) Настройка лога и перенаправление на сборщик логов.

Для настройки стоит обратиться к документации официального сайта Там можно найти подробное описание как:

• не писать лог для нужных ACL.

• писать лог в файл.

• отправлять лог по UDP/TCP.

• писать лог в системный журнал.

Пример с отправкой лога доступа через syslog:

• Лог расширен и праведен к формату JSON

"timestamp": "%ts.%03tu",          # Время: Unix-timestamp с миллисекундами (основа для таймлайна)
"time_human": "%tl"           # Для человека (стандартный вид: 25/Oct/2023:14:30:05 +0300)
"time_iso": "%tl{%Y-%m-%dT%H:%M:%S %z}" # Для человека и сортировки (2023-10-25T14:30:05 +0300)
"date": "%tl{%Y-%m-%d}" # Для человека
"time": "%tl{%H:%M:%S}" # Для человека
"tz": "%z"


"client_ip": "%>a",           # IP-адрес клиента (источник запроса)
"client_port": "%>p",         # Порт клиента (источник)
"client_mac": "%>eui",        # MAC-адрес клиента (EUI-48/64), если доступен в сети
"user": "%[un",               # Имя пользователя (из Auth, External ACL или SSL Cert)
"auth_user": "%ul",           # Имя пользователя строго из аутентификации (Basic/NTLM/Kerberos)
"external_user": "%ue",       # Имя пользователя из external_acl helper
"ssl_user": "%us",            # Имя из Subject SSL-сертификата клиента
"http_method": "%rm",         # Метод запроса (GET, POST, CONNECT и т.д.)

"url": "%ru",                 # Полный URL запроса (после редиректов и адаптации)
"raw_url": "%>ru",            # URL точно так, как прислал клиент (до изменений Squid)
"upstream_url": "%<ru",       # URL, который фактически ушел на сервер назначения

#"domain": "%{host}ru",       # Домен из URL (удобно для фильтрации по сайтам)
"path": "%rp",                # Путь к ресурсу без домена и протокола

"http_version": "%rv",        # Версия HTTP протокола (1.0, 1.1, 2)
"http_status": "%>Hs",        # HTTP код ответа, отправленный клиенту (200, 403, 502)
"upstream_status": "%<Hs",    # HTTP код ответа, полученный от сервера/родителя

"squid_status": "%Ss",        # Статус кэша/действия Squid (TCP_HIT, TCP_MISS, TCP_DENIED, ERR_...)
"hierarchy": "%Sh",           # Откуда взяты данные (DEFAULT_PARENT, FIRST_PARENT, NONE)

"size_response": "%<st",      # Размер тела ответа, отправленного клиенту (байты)
"size_request": "%>st",       # Размер тела запроса от клиента (байты)
"size_total_traffic": "%st",  # Общий трафик сделки (запрос + ответ)

"response_time_ms": "%tr",    # Общее время обработки запроса (мс)
"dns_time_ms": "%dt",         # Время, затраченное на DNS-резолвинг (мс)
"peer_time_ms": "%<pt",       # Время ответа от вышестоящего прокси/сервера (мс)
"forwarding_time_ms": "%<tt", # Общее время форвардинга (включая DNS, ACL, retries)

"mime_type": "%mt",           # MIME-тип контента (text/html, image/jpeg, application/json)

"referer": "%{Referer}>h",    # Заголовок Referer (откуда пришел пользователь)
"user_agent": "%{User-Agent}>h", # Заголовок User-Agent (браузер/бот/ОС)
"content_range": "%<sH",      # Смещение конца переданного объекта (для частичного контента)
"upstream_obj_size": "%<sS",  # Полный размер объекта на источнике (даже если отдана часть)
"req_attempts": "%[http::]request_attempts", # Количество попыток пересылки (ретраи)

"conn_id": "%transport::>connection_id",   # Уникальный ID транспортного соединения (для корреляции) # Чтобы связать строки, относящиеся к одному физическому TCP-соединению (Keep-Alive)
"master_xid": "%master_xaction",             # ID мастер-транзакции (монотонный счетчик внутри воркера) # Чтобы связать части одного файла (Range requests) или запросы в рамках одной вкладки браузера

"local_ip": "%>la",           # Локальный IP, на который подключился клиент (важно при мульти-IP)
"local_port": "%>lp",         # Локальный порт, на который подключился клиент

"server_ip": "%<a",           # IP адреса сервера назначения (последний хоп)
"server_fqdn": "%<A",         # FQDN сервера назначения или имя пира
"server_port": "%<p",         # Порт сервера назначения

"QoS_value": "%>qos",         # Значение TOS/DSCP пакета клиента (Quality of Service)
"netfilter_mark": "%>nfmark", # Netfilter MARK пакета (если используется интеграция с iptables/nftables)
"ssl_bump_mode": "%ssl::bump_mode",       # Режим SSL Bump (peek, bump, splice, stare, terminate)
"ssl_sni": "%ssl::>sni",                  # SNI (Server Name Indication) от клиента
"ssl_client_subject": "%ssl::>cert_subject", # Subject сертификата клиента (если есть mTLS)
"ssl_client_issuer": "%ssl::>cert_issuer",   # Issuer сертификата клиента
"ssl_server_subject": "%ssl::<cert_subject", # Subject сертификата сервера назначения
"ssl_server_issuer": "%ssl::<cert_issuer",   # Issuer сертификата сервера назначения
"ssl_cert_errors": "%ssl::<cert_errors",     # Список ошибок валидации сертификата сервера
"ssl_tls_version": "%ssl::>negotiated_version", # Согласованная версия TLS (TLSv1.2, TLSv1.3)
"ssl_cipher": "%ssl::>negotiated_cipher",     # Согласованный шифр (ECDHE-RSA-AES256-GCM-SHA384)

"ssl_client_hello_ver": "%ssl::>received_hello_version", # Версия TLS в ClientHello
"ssl_max_supported_ver": "%ssl::>received_supported_version", # Макс. версия TLS, поддерживаемая клиентом
"handshake_data": "%>handshake", # Сырые байты рукопожатия (Base64), полезно для детекции протоколов
"error_code": "%err_code",      # Внутренний код ошибки Squid (если запрос не успешен)
"error_detail": "%err_detail",  # Детальное описание ошибки (разделено '+')
"busy_time_ns": "%busy_time",   # Время CPU, затраченное Squid на эту транзакцию (нс, экспериментально)
"adapt_total_ms": "%adapt::sum_trs", # Суммарное время работы ICAP/eCAP сервисов (мс)
"adapt_times_list": "%adapt::all_trs", # Список времени каждого ICAP/eCAP вызова отдельно
"proxy_src_addr": "%{proxy_protocol::>h{:src_addr}", # Реальный IP из заголовка PROXY Protocol (если используется балансировщик)
"proxy_dst_addr": "%{proxy_protocol::>h{:dst_addr}", # Реальный IP назначения из PROXY Protocol
"note_annotation": "%note",    # Пользовательские аннотации (метаданные) от адаптеров или скриптов

# Определение формата лога
logformat squid_json {"datetime":"%tl{%Y-%m-%d} %tl{%H:%M:%S}","client_ip":"%>a","client_port":"%>p","auth_user":"%ul","http_method":"%rm","url":"%ru","http_version":"%rv","http_status":"%>Hs","squid_status":"%Ss","hierarchy":"%Sh","size_response":"%<st","size_request":"%>st","mime_type":"%mt","user_agent":"%{User-Agent}>h","conn_id":"%transport::>connection_id","master_xid":"%master_xaction","server_ip":"%<a","server_fqdn":"%<A","server_port":"%<p","QoS_value":"%>qos","ssl_bump_mode":"%ssl::bump_mode","ssl_sni":"%ssl::>sni","ssl_tls_version":"%ssl::>negotiated_version","ssl_cipher":"%ssl::>negotiated_cipher"}

# Записывает каждый запрос, обработанный Squid, в файл access.log
# Cтандартный шаблон
access_log stdio:/opt/squid/var/log/squid/access.log
# Дополнительно отправляет каждый запрос, обработанный Squid, в файл access.log
# Шаблон JSON
access_log udp://10.0.0.41:5141 squid_json

# Служебные сообщения Squid ошибки, предупреждения, отладочная информация
cache_log stdio:/opt/squid/var/log/squid/cache.log

Если не используется SSL-Bump, то некоторые поля могут быть пустыми или ‘-’

6) Настройка дополнительных фич.

6.1) Настройка кэширования.

Объект сначала попадает в RAM → если долго не запрашивается — перемещается на диск → если место заканчивается — удаляется

# cache_mem <объём>
# Использовать до 1 ГБ RAM для кэша
cache_mem 1024 MB
	# Объекты ≤ cache_mem → хранятся только в RAM
	# Объекты > cache_mem → сразу идут на диск

# cache_dir <тип> <путь> <размер_МБ> [L1] [L2]
	# - <L1> — количество каталогов первого уровня (обычно 16) - В старых Unix-файловых системах (ext2, UFS) было жёсткое ограничение: содержание файлов в 1 каталоге
	# - <L2> — количество каталогов второго уровня (обычно 256) - 

#### Один кэш на SSD (рекомендуется)
# Squid рассматривает все cache_dir как единое пространство хранения
# Rock — современный движок для SSD/NVMe
cache_dir rock /opt/squid/var/cache/rock1 20000  # 20 ГБ

# ACL для обновлений
acl ubuntu dstdomain .archive.ubuntu.com
acl security_ubuntu dstdomain security.ubuntu.com
acl windows_update dstdomain .windowsupdate.com .update.microsoft.com
# Кэшировать ТОЛЬКО эти домены
cache allow ubuntu
cache allow security_ubuntu
cache allow windows_update
cache deny all

############

# ACL для внутренних ресурсов
acl intranet dstdomain .dd.local .yourcompany.local
# Запретить кэширование внутренних сайтов
cache deny intranet
# Разрешить кэширование всего остального
cache allow all

############

### Кэшировать только картинки и CSS
# ACL для статики
acl static_content urlpath_regex -i .(jpg|jpeg|png|gif|css|js)$
# Кэшировать только статику
cache allow static_content
cache deny all

############

### Разные кэши для разных сетей
# Сети
acl office src 10.0.1.0/24
acl warehouse src 10.0.2.0/24
# Office: кэшировать всё
cache allow office
# Warehouse: кэшировать только обновления
acl updates dstdomain .windowsupdate.com
cache allow warehouse updates
# Остальное — не кэшировать
cache deny all

### Максимальный размер объекта в кэше
# Не кэшировать файлы больше 100 МБ
maximum_object_size 100 MB
# Минимальный размер (по умолчанию 0)
minimum_object_size 0 KB

### Время хранения объектов
# Обновления ОС — кэшировать дольше
refresh_pattern -i .(deb|rpm|msi|exe)$ 10080 90% 43200 override-expire
# Обычные страницы — стандартное время
refresh_pattern . 0 20% 4320

6.2) Настройка ограничения скорости.

Возможно вы захотите использовать группы AD для ограничения скорости, но как говорит официальная инструкция, директива delay_class работает только с acl типа “fast”.

Если вы знаете способ обойти это ограничение, прошу подсказать как… Пробовал так же вариант с добавлением пользовательского header для группы, и после определять в пул по наличию этого заголовка header, но столкнулся с ошибкой (увы, уже не вспомню с каклй именно)

В Squid delay_parameters указываются в байтах в секунду, а не в битах.

# Формула: Мбит/с → байты/сек
# (Мбит × 1_000_000) ÷ 8 = байты/сек

# Примеры:
# 10 Мбит/с  → (10 × 1_000_000) ÷ 8 = 1_250_000 байт/сек
# 50 Мбит/с  → (50 × 1_000_000) ÷ 8 = 6_250_000 байт/сек
# 100 Мбит/с → (100 × 1_000_000) ÷ 8 = 12_500_000 байт/сек
# 1 Гбит/с   → (1000 × 1_000_000) ÷ 8 = 125_000_000 байт/сек

Squid проверяет пулы по порядку номеров (сначала 1, потом 2). Первый пул, где запрос получает allow, применяется. Если получает deny — переходит к следующему пулу

# Проверяем Пул 1
delay_access 1 deny politics_Squid_InternetAccess_speed-full  # Группе ЗАПРЕЩЕН Пул 1
delay_access 1 allow all                                      # Остальным РАЗРЕШЁН Пул 1

# Проверяем Пул 2 (если не попали в Пул 1)
delay_access 2 allow politics_Squid_InternetAccess_speed-full # Группе РАЗРЕШЁН Пул 2
# (остальным доступ к Пулу 2 неявно запрещён)

delay_parameters <пул> <aggregate_max/aggregate_restore> <individual_max/individual_restore>
	# aggregate_max - Общий "буст" на всех пользователей (3750000) 
	# aggregate_restore - Общая пропускная способность пула (~30 Мбит/с) (3750000)
	# individual_max - Макс. "буст" для одного пользователя (640000)
	# **individual_restore - Скорость для одного пользователя (~5.12 Мбит/с) (640000)

delay_pools 1
delay_class 1 1                     # Пул №1 использует Class 1
delay_access 1 allow all            # Применить ко всем клиентам
delay_parameters 1 3750000/3750000  # Только общий лимит

delay_class <пул> 2

delay_parameters 1 3750000/3750000 640000/640000

# Умножаем на 8, чтобы перевести байты в биты.

# Один пользователь
Пользователь А качает файл
→ Тратит из своего individual (640 КБ/сек) 
→ И из aggregate (3.75 МБ/сек)
→ Фактическая скорость: ~5 Мбит/сек (лимит individual)

# Пять пользователей одновременно
Каждый хочет 5 Мбит/с → сумма 25 Мбит/с
→ Aggregate лимит: 30 Мбит/с → все получают ~5 Мбит/с

Но если 7 пользователей:
→ 7 × 5 = 35 Мбит/с > 30 Мбит/с (aggregate)
→ Начинается "дележка": каждый получит ~4.3 Мбит/с

# Короткий всплеск (burst)
Пользователь начинает загрузку:
→ Может мгновенно использовать до 640 КБ из индивидуального "бака"
→ И до 3.75 МБ из общего "бака"
→ После исчерпания — работает только на скорости восстановления

# Общий пул делаем "бесконечным" (очень большое значение)
delay_parameters 1 -1/-1 640000/640000
# -1 = без лимита (только individual). отключает лимит для соответствующего параметра.

delay_class <пул> 3
delay_parameters <пул> <net_max/net_restore> <individual_max/individual_restore> <connection_max/connection_restore>

delay_pools 1
delay_class 1 3
delay_access 1 allow all

# Лимиты:
# 1. Для всей подсети (Network): 10 Мбит/с
# 2. Для одного пользователя (Individual): 2 Мбит/с
# 3. Для одного соединения (Connection): 500 Кбит/с
delay_parameters 1 1250000/1250000 250000/250000 62500/62500

7) Пример простого полного конфигурационного файла.

• Аутентификация пользователей Kerberos + LDAP

• Списки запрещенных сайтов

• Настройки лога, кэша

• Ограничение скорости (3 пула)

• SSL-Bump

• Log format JSON

• Log отправка на Graylog

############################################################################
###### Squid обрабатывает правила доступа последовательно сверху вниз ######
######               Применяется первое найденное правило             ######
############################################################################

visible_hostname testproxy.DOMAIN.RU     # имя хоста, которое Squid будет использовать в HTTP-заголовках, страницах ошибок, при логировании (в некоторых форматах лога)
httpd_suppress_version_string on            # Отключает отображение версии Squid HTTP-заголовках, Страницах ошибок
cache_effective_user proxy                  # От какого пользователя Squid будет работать после запуска


############################################################################
# SSL-Bump

# Прослушиваемый порт
http_port 3128 ssl-bump cert=/opt/squid/etc/ssl/squid_ca.pem generate-host-certificates=on dynamic_cert_mem_cache_size=4MB

# Этапы проверки SSL
acl step1 at_step SslBump1
acl step2 at_step SslBump2
acl step3 at_step SslBump3

# Политика доменов без SSL-инспекции
acl politics_sites_no-inspection dstdomain "/opt/squid/etc/sites_no-inspection"

# Проверяем сертификат сервера на ошибки (истек, самоподписанный, имя не совпадает и т.д.)
# Создаем ACL, который истинен, если есть ЛЮБАЯ из перечисленных ошибок
# Squid объединяет строки с одинаковым именем acl по OR
acl politics_bad_certs ssl_error certHasExpired         # Срок действия сертификата истек ERR_CERT_DATE_INVALID
acl politics_bad_certs ssl_error certNotYetValid        # Сертификат еще не начал действовать
acl politics_bad_certs ssl_error certUntrusted          # Издатель сертификата (Certificate Authority, CA) не доверяется Squid'ом
acl politics_bad_certs ssl_error certSelfSigned         # Сертификат подписан самим же владельцем сайта, а не независимым центром
acl politics_bad_certs ssl_error certDomainMismatch     # Имя домена, к которому ты обращаешься, не совпадает с именем, указанным в сертификате

# Пропускать без SSL-инспекции SNI из списка
ssl_bump splice step1 politics_sites_no-inspection

# Смотрим SNI и переходим к шагу 2, чтобы получить сертификат сервера.
ssl_bump peek step1

# Теперь у нас есть сертификат сервера. Проверяем его валидность.
# Если сертификат плохой -> рвем соединение.
ssl_bump terminate step2 politics_bad_certs

# вскрываем (bump) все остальные соединения
ssl_bump bump step2
# Просто продолжаем работу
ssl_bump splice step3

# Генератор сертификатов
sslcrtd_program /opt/squid/libexec/security_file_certgen -s /opt/squid/var/lib/ssl_db -M 4MB


############################################################################
# ЛОГИ

# Интерфейсы сервера # Коды ошибок
error_directory /opt/squid/share/errors/en

# Отключить сбор статистики сетевых задержек (файл ...squid/netdb.state)
netdb_low 0
netdb_high 0

# Определение формата лога
logformat squid_json {"datetime":"%tl{%Y-%m-%d} %tl{%H:%M:%S}","client_ip":"%>a","client_port":"%>p","auth_user":"%ul","http_method":"%rm","url":"%ru","http_version":"%rv","http_status":"%>Hs","squid_status":"%Ss","hierarchy":"%Sh","size_response":"%<st","size_request":"%>st","mime_type":"%mt","user_agent":"%{User-Agent}>h","conn_id":"%transport::>connection_id","master_xid":"%master_xaction","server_ip":"%<a","server_fqdn":"%<A","server_port":"%<p","QoS_value":"%>qos","ssl_bump_mode":"%ssl::bump_mode","ssl_sni":"%ssl::>sni","ssl_tls_version":"%ssl::>negotiated_version","ssl_cipher":"%ssl::>negotiated_cipher"}


# Записывает каждый запрос, обработанный Squid, в файл access.log
access_log stdio:/opt/squid/var/log/squid/access.log squid_json
access_log udp://10.0.0.7:5141 squid_json

# Служебные сообщения Squid ошибки, предупреждения, отладочная информация
cache_log stdio:/opt/squid/var/log/squid/cache.log

############################################################################
# КЭШ

# максимальный объем памяти для кэширования объектов
cache_mem 2048 MB
# Определяет место, где Squid будет хранить закэшированные данные
# Используется тип кэша rock, который оптимизирован для быстрого доступа
# Путь, где будет храниться кэш
# размер кэша в 10 ГБ (размер в мегабайтах)
cache_dir rock /opt/squid/var/cache/rock1 10000  # 10 ГБ
# Отвечает за управление объектами в дисковом кэше
# Помогает решать, какие объекты следует удалить из кэша при его заполнении, основываясь на частоте их использования
cache_replacement_policy lfuda
# Определяет, как Squid будет управлять заменой объектов в оперативной памяти
# Оптимизирует управление памятью, минимизируя фрагментацию и обеспечивая более быстрый доступ к данным
memory_replacement_policy heap

### Ограничения времени для обновления кэша и управления терминами, в течение которых объекты будут считаться "свежими".
# Этот шаблон применяет правило к FTP-ресурсам (все URL, начинающиеся с ftp:)
        # 9 - минимальное время, через которое объект может быть обновлён (в минутах).
        # 10% - процент изменения, необходимый для повторного обновления кэшированного объекта.
        # 10 - максимальное время, в течение которого объект может оставаться в кэше (в минутах).
refresh_pattern -i ^ftp:           9    10%     10
        # 0 - объекты не будут предоставляться из кэша по умолчанию.
        # 0% - не используется, так как минимальное время равно 0.
        # 0 - нехранить в кэше
refresh_pattern -i (/cgi-bin/|?)  0     0%      0       # Для динамических страниц | уникальный контент для каждого пользователя
refresh_pattern .                  0     20%     2160    # все остальное 0 минут / 1.5 дня

############################################################################
# Ограничения скорости

delay_pools 1 # Создать 1 пул ограничения скорости
delay_class 1 2 # Пул №1 использует класс 2
delay_access 1 allow all # Применить пул №1 ко всем клиентам
delay_parameters 1 3750000/3750000 640000/640000 # (потому что 3750000 × 8 = 30 000 000 бит)

############################################################################
# Другое

# Заглушка для email, имя пользователя по умолчанию для анонимного доступа к FTP-серверам через Squid
ftp_user anonymous@

############################################################################
###### Раздел ACL- создание правил доступа
############################################################################
# пример имени acl # politics_Squid_<NameADGroup>_From_AD
# пример имени acl # politics_Squid_<Name>
############################################################################

# Не кэшировать направления на локальный домен .domain.ru
acl politics_no_cache_local dstdomain .domain.ru
cache deny politics_no_cache_local
# Кэшировать картинки и CSS
acl politics_static_content urlpath_regex -i .(jpg|jpeg|png|gif|css|js)$ # кэшировать картинки
cache allow politics_static_content
cache deny all # Остальное не кэшировать

############################################################################
# auth_param - параметры аутентификации пользователей

###### АУТЕНТИФИКАЦИЯ Kerberos
# Аутентификация пользователья в AD через Kerberos
auth_param negotiate program /opt/squid/libexec/negotiate_kerberos_auth 
    -d 
    -k /opt/squid/etc/squid.keytab 
    -s HTTP/testproxy.domain.ru@DOMAIN.RU
###### АУТЕНТИФИКАЦИЯ LDAP. Поиск пользователя в группе AD
# politics_ldap_Squid_<NameADGroup> - идентификация группы внутри squid
# InternetFullAccess - группа AD

external_acl_type external_ldap_Squid_InternetFullAccess 
        ttl=300 negative_ttl=60 
        %LOGIN /opt/squid/libexec/ext_kerberos_ldap_group_acl 
    -g InternetFullAccess 
    -D DOMAIN.RU 
    -u squid@DOMAIN.RU 
        -p passwordUser 
        -l ldap://DOMAIN.RU

acl politics_Squid_InternetFullAccess_From_AD external external_ldap_Squid_InternetFullAccess

external_acl_type external_ldap_Squid_InternetAccess 
        ttl=300 negative_ttl=60 
        %LOGIN /opt/squid/libexec/ext_kerberos_ldap_group_acl 
    -g InternetAccess 
    -D DOMAIN.RU 
    -u squid@DOMAIN.RU 
        -p passwordUser 
        -l ldap://DOMAIN.RU

acl politics_Squid_InternetAccess_From_AD external external_ldap_Squid_InternetAccess

# обязательная аутентификацию для всех пользователей
# REQUIRED - это ключевое слово означает: «Пользователь считается частью этого списка только если он успешно предоставил логин и пароль»
# Должно идти после инструкций auth_param
acl politics_authenticated proxy_auth REQUIRED

############################################################################

###### ПОРТЫ
acl politics_Safe_ports port 80          # http
acl politics_politics_Safe_ports port 21 # ftp
acl politics_Safe_ports port 443         # https
acl politics_Safe_ports port 444         # https альтернативный
acl politics_Safe_ports port 70          # gopher
acl politics_Safe_ports port 210         # wais
acl politics_Safe_ports port 1025-65535  # unregistered ports
acl politics_Safe_ports port 280         # http-mgmt
acl politics_Safe_ports port 488         # gss-http
acl politics_Safe_ports port 591         # filemaker
acl politics_Safe_ports port 777         # multiling http

acl politics_SSL_ports port 443          # https
acl politics_SSL_ports port 444          # https альтернативный

###### МЕТОДЫ подключения

# Метод CONNECT используется клиентами для установления туннеля через сервер посредник (чаще всего для HTTPS трафика).
acl politics_CONNECT method CONNECT

###### ПРОТОКОЛЫ

# Протокол ftp
acl politics_ftp proto FTP

############################################################################

###### ЧЕРНЫЕ/БЕЛЫЕ СПИСКИ

# black список. Запрет сайтов для ВСЕХ и для пользователей без авторизации (без ЛОГИНА и ПАРОЛЯ)
acl politics_black_list_ALL_andGuest url_regex -i "/opt/squid/etc/black_list_ALL_andGuest"

# white список. Для доступа к сайтам для ВСЕХ и для пользователей без авторизации (без ЛОГИНА и ПАРОЛЯ)
acl politics_white_list_ALL_andGuest url_regex -i "/opt/squid/etc/white_list_ALL_andGuest"

# black список. Запрет сайтов для группы InternetAccess
acl politics_black_list_for_InternetAccess url_regex -i "/opt/squid/etc/black_list_for_InternetAccess"

############################################################################
###### Раздел http_access - Применение правли доступа
############################################################################

# доступ к служебным страницам мониторинга и управления
# acl manager proto cache_object  # В Squid 7+ manager уже определён по умолчанию
http_access deny manager !localhost # Только для него самого

# Запретить небезопасные порты
http_access deny !politics_Safe_ports
# Запретить CONNECT к не-SSL портам
#http_access deny CONNECT !politics_SSL_ports

# acl politics_black_list_ALL_andGuest
http_access deny politics_black_list_ALL_andGuest

# acl politics_white_list_ALL_andGuest
# http_access allow politics_white_list_ALL_andGuest

# Запретить доступ пользователям без логина и пароля
http_access deny !politics_authenticated

# Доступ для групп AD - InternetFullAccess
http_access allow politics_Squid_InternetFullAccess_From_AD

# black_list - InternetAccess
http_access deny politics_Squid_InternetAccess_From_AD politics_black_list_for_InternetAccess
# Доступ для групп AD - InternetAccess
http_access allow politics_Squid_InternetAccess_From_AD


# ftp
http_access allow politics_ftp  # allow ftp

# Разрешить остальное с localhost
http_access allow localhost
# Запретить все остальное
http_access deny all

Если статья будет многим интересна, то возможно сделаю архив с примером конфигурации основанной на include (вложенности конфигов) и опубликую через GitHub. Имеется в виду конфигурация позволяющая типизировать изменения параметров Squid на основе разбитого squid.conf на отдельные файлы. Что то подобно структуре изображенной на скриншоте: