...
# Родительский Proxy (Для обхода запретов РКН)
cache_peer хх.хх.хх.хх parent 8228 0 proxy-only default

# Общие ACL
acl SSL_ports port 443
acl SSL_ports port 9443         # sberbank
acl Safe_ports port 80          # http
acl Safe_ports port 443         # https
acl Safe_ports port 9443        # sberbank
acl CONNECT method CONNECT
acl localnet src 192.168.0.0/16
acl servers src 192.168.1.64
acl servers src 192.168.0.21
acl allowmacs arp "/etc/squid/allowmacs" # Авторизация по MAC
acl blacklist url_regex -i "/etc/squid/blacklist" # Черный список сайтов
acl direct-to-whitenet url_regex -i "/etc/squid/direct-to-whitenet" # Список сайтов, идущих через родительский Proxy

# ACL Доступа к файлам (запросы, идущие от пользователей)
acl exec_files urlpath_regex -i \.exe$ \.bat$ \.dat$ \.vbs$ \.apk$ \.app$ \.bin$ \.cmd$ \.com$ \.jar$ \.msi$ \.pif$ \.sh$ \.shs$ \.vb$ \.ws$
acl sys_files urlpath_regex -i \.cab$ \.cfg$ \.cpl$ \.cur$ \.dll$ \.dmp$ \.dpl$ \.drv$ \.hlp$ \.inf$ \.ini$ \.lnk$ \.reg$ \.scr$ \.sys$ \.vxd$
acl arc_files urlpath_regex -i \.7z$ \.apk$ \.arj$ \.bz2$ \.cab$ \.cbr$ \.deb$ \.gz$ \.gzip$ \.lha$ \.lhx$ \.lz$ \.lza$ \.lzma$ \.pea$ \.pkg$ \.rar$ \.rpm$ \.s7z$ \.sda$ \.sea$ \.tar$ \.taz$ \.tb2$ \.tbz$ \.tgz$ \.tlz$ \.txz$ \.zip$
acl audio_files urlpath_regex -i \.aif$ \.flac$ \.iff$ \.m3u$ \.m4a$ \.mid$ \.mp3$ \.mpa$ \.ra$ \.wav$ \.wma$
acl video_files urlpath_regex -i \.3g2$ \.3gp$ \.asf$ \.asx$ \.avi$ \.flv$ \.m4v$ \.mkv$ \.mov$ \.mp4$ \.mpg$ \.rm$ \.srt$ \.swf$ \.vob$ \.wmv$

# ACL по типам содержимого страниц (ответы из интернета)
acl video_mime rep_mime_type -i video/mp4 video/m2ts
acl video_mime rep_mime_type -i ^video/mp4$ ^video/m2ts$
acl video_mime rep_mime_type -i application/octet-stream
acl video_mime rep_mime_type -i ^application/octet-stream$
acl video_mime rep_mime_type image/gif
acl video_mime rep_mime_type ^image/gif$

#Используем специальный helper для прозрачной аутентификации через kerberoos
auth_param negotiate program /usr/lib64/squid/negotiate_kerberos_auth -r -i -s GSS_C_NO_NAME
auth_param negotiate children 300
auth_param negotiate keep_alive on

#Используем kerberos через систему pam для базовой авторизации с запросом пароля
auth_param basic program /usr/lib64/squid/basic_pam_auth -n /etc/pam.d/squid -t 300 -o -r
auth_param basic children 50
auth_param basic credentialsttl 2 hours
auth_param basic realm Please enter Your login and password
auth_param basic casesensitive off

#Необходимо для поиска групп в AD
external_acl_type ldap_check ipv4 ttl=100 children-startup=5 children-max=300 %LOGIN /usr/lib64/squid/ext_ldap_group_acl -R -S -K -b 'DC=my,DC=domain,DC=org' -f "(&(sAMAccountName=%u)(memberof=cn=%g,OU=group,OU=group2,DC=my,DC=domain,DC=org))" -D "CN=squid,CN=Users,DC=my,DC=domain,DC=org" -w "topsecretpass" -h 192.168.0.7

#Описание групп доступа из AD
acl full-access external ldap_check _squid-full-access
acl user-full-access external ldap_check _squid-user-full-access
acl user-medium-access external ldap_check _squid-user-medium-access
acl user-minimum-access external ldap_check _squid-user-minimum-access

#Описываем пользователей которые невходят в другие группы
#acl auth proxy_auth sasha@MYDOMAIN.LOCAL

# Всегда использовать прямой выход в интернет для данного ACL (выход, минуя родительский proxy)
always_direct allow user-medium-access
always_direct allow user-minimum-access
# Никогда не использовать прямой выход в интернет для данного ACL (выход только через родительский proxy)
never_direct allow direct-to-whitenet

#Назначаем разрешения кому можно ходить в интернет
http_access deny !Safe_ports
http_access deny CONNECT !SSL_ports
http_access allow servers
http_access allow allowmacs
http_reply_access allow allowmacs
http_access allow full-access
http_access deny exec_files
http_access deny sys_files
http_access allow user-full-access
http_reply_access allow user-full-access
http_access deny blacklist
http_access deny audio_files
http_access deny video_files
http_reply_access deny video_mime
http_access allow user-medium-access
http_access deny arc_files
http_access allow user-minimum-access
#Запрещаем доступ всем остальным
http_access deny all

http_port 0.0.0.0:3128
coredump_dir /var/spool/squid
refresh_pattern ^ftp:        1440    20%    10080
refresh_pattern ^gopher:    1440    0%    1440
refresh_pattern -i (/cgi-bin/|\?) 0    0%    0
refresh_pattern .        0    20%    4320
detect_broken_pconn on
...

$template network-fmt,"%TIMESTAMP:::date-rfc3339% [%fromhost-ip%] %pri-text% %syslogtag%%msg%\n"
if $fromhost-ip != '127.0.0.1' then ^/etc/zabbix/scripts/zabbix_syslog_lkp_host.pl;network-fmt
if $fromhost-ip != '127.0.0.1' then /var/log/network.log;network-fmt
& stop

systemctl stop rsyslog

rsyslog

# getenforce
Disabled