Интересные (документированные) грабли появились в сквид-4.0
Если у внешнего ACL нет в формате %DATA, то оно автоматически дописывается в конец формата и при отсутствии данных подставляется "-"
Так что имея формат «%SRC» acl получил на вход «xxx.xxx.xxx.xxx -» чем был сильно удивлен.