Не хочется специально для них прокси полнимать.... Придется целеком влан заварачивать в него. Хотя вариант. Прокси же можно натравить на нужную мне сеть? Только одну и сделать акл лист  доступа.

--=XliN=--, SQUID прекрасно работает с учётками NT, хотя ради эксперементов и личного опыта можно конечно сторить велосипед, ни кто не запрещает.

и чего делать? AD у меня на самбе четвертой.

Я не пойму... предлагаете поставить сквид и интегрировать его с AD?

Попробовал настроить по первой ссылке. Поставил сквид. Дробавил в него строчку из примера, подправив под себя не много. Не уверен что правильно.. Т.к. Сам конфиг оставил по дефолту. Как есть. Попробовал... Не работает. В айпитаблес пока ничего не заварачивал, прлписываю прокси вручную. Что из конфигов показать?

Давайте по порядку.
Сам файл настройки сквида

acl manager proto cache_object
acl localhost src 127.0.0.1/32
acl to_localhost dst 127.0.0.0/8 0.0.0.0/32
acl SSL_ports port 443
acl CONNECT method CONNECT
http_access allow manager localhost
http_access deny manager
http_access deny !Safe_ports
http_access deny CONNECT !SSL_ports
http_access allow localnet
http_access allow localhost
http_access deny all
icp_access allow localnet
icp_access deny all
htcp_access allow localnet
htcp_access deny all
http_port 3128
hierarchy_stoplist cgi-bin ?
access_log /var/log/squid/access.log squid
refresh_pattern ^ftp:                   1440    20%     10080
refresh_pattern ^gopher:                1440    0%      1440
refresh_pattern -i (/cgi-bin/|\?)       0       0%      0
refresh_pattern .                       0       20%     4320
icp_port 3130
coredump_dir /var/spool/squid
auth_param basic program /usr/lib/squid/squid_ldap_auth -f "(&(objectclass=person)(sAMAccountName=%s)(CN=InternetAccess,OU=Builtin,DC=smb,DC=mgkb1,DC=local))" -R -b "OU=Users,DC=smb,DC=mgkb1,DC=local" -D "sel_ldap@smb.mgkb1.local" -w "h2DTCVoc" -h 192.168.2.82 -v 3 -p 389
acl ldapusers proxy_auth REQUIRED
http_access allow ldapusers

Вот это я добавил в стандартный squid.conf, который был создан при установке сквида. Повторюсь... в squid.conf ничего более не менял. Ни строчки.

auth_param basic program /usr/lib/squid/squid_ldap_auth -f "(&(objectclass=person)(sAMAccountName=%s)(CN=InternetAccess,OU=Builtin,DC=smb,DC=mgkb1,DC=local))" -R -b "OU=Users,DC=smb,DC=mgkb1,DC=local" -D "sel_ldap@smb.mgkb1.local" -w "XXXXXXX" -h 192.168.2.82 -v 3 -p 389
acl ldapusers proxy_auth REQUIRED
http_access allow ldapusers

Меня смущает вот этот фильтр

Как мне узнать что точно тут написать?
Далее... верно ли я написал

CN=InternetAccess,OU=Builtin,DC=smb,DC=mgkb1,DC=local

InternetAccess - группа для пользователей с инетом
Builtin - в этом месте находится сама группа
DC=smb,DC=mgkb1,DC=local - адрес домена.

Как проверяю. Заходу на сервер под sel_ldap пользователем. В ишаке включаю прокси. Пробую открыть яндекс например. Открывает. Хотя пользователь не добавлен в группу InternetAccess.

--=XliN=--, Начнём с того, что самое правильное дефолтную конфигу сквида сохранить гденибуть, а самому писать новый, с нуля.
Дефлтная дана чисто для примера и для простых ситуаций. Там много лишнего для нашего случая. Тоесть должно остаться только самое необходимое.
Даже не остаться, повторюсь - создаём пустой squid.conf и далее построчно внего добавляем.
Если что т опропустим или напишем нитак, то про старте сквид про это скажет.
Это очень полезно делать именно так, во-первых лучше познаётся ег овнутренняя суть, во вторых в правилах будет всё только самое нужное и никакого мусора.

Здесь пишется полное FQDN доменное имя вашего сервера.
Например так:

CN=SERVER,OU=Domain Controllers,DC=mail,DC=ru

Тоесть, исходя из Вшей записи, Ваш сервер зовут так: smb.mgkb1.local, если да, то значит написали всё верно.
Следующим моментом - это нужно в iptables запретить форвард на 80-й порт (или OUTPUT, если всё это шлюзовая машина).
Позователей нужно добавить в соотвествующую группу на виндовом сервере а в GPO прописать использовать порт 3128 на  сервере, где стоит сквид, а остальным запретить. Явно.
Итогом всего этого должно стать следующее. Позователь входит на сервер, работает, запускает браузер и лезет в интернет. Если ему нельзя, то (тут настраиваемо, лобо оставить как есть и браузер напишет, что ничего не может найти, либо сделать редирект  на страничку с должностными интрукциями) он не получает доступа, а если можно, то ему в кокошке браузера выводится страничка ввода логина и пароля (что кстати можно отключить в GPO).
Обязательным фактом это всё должно логироваться.
Как то так.

1. хорошо.
2. Лучшее попробовать оба варианта - опять же опыт, он бесценен  wink  , у меня стоит CN - думаю так правильно, хотя где т очитал, что можно вообще опустить.
3. Да, на шлюзе форвард 80-го порта. Что бы браузер (не настроенный на выход через прокси, да и всякие проги-портабле вершен) пользователя, не лезли в Инет, если по GPO Инет ему (пользователю) не положен. Вообще хорошим тоном является в iptables запретить всё, а потом открыть тока нужное, в самом iptables или в сквиде. Главное нужного пользователя не забыть завернуть на сквид.

Вот мой новый конфиг сквида

http_port 3128
logfile_rotate 7
cache_mem 100 MB
cache_swap_low 95
cache_swap_high 98
maximum_object_size 1000000 KB
#acl all src 0.0.0.0/0.0.0.0
#acl dom_local src 192.168.2.0/24
#acl adm_local src 192.168.1.0/24
auth_param basic program /usr/lib/squid/squid_ldap_auth -f "(&(objectClass=person)(sAMAccountName=%s)(CN=InternetAccess,OU=Builtin,DC=smb,DC=mgkb1,DC=local))" -R -b "OU=Users,DC=smb,DC=mgkb1,DC=local" -D "sel_ldap@smb.mgkb1.local" -w "h2DTCVoc" -h 192.168.2.82
acl ldapusers proxy_auth REQUIRED
#http_access allow dom_local
#http_access allow adm_local
http_access allow ldapusers
#http_access deny all

hierarchy_stoplist cgi-bin ?
access_log /var/log/squid/access.log squid
refresh_pattern ^ftp:                   1440    20%     10080
refresh_pattern ^gopher:                1440    0%      1440
refresh_pattern -i (/cgi-bin/|\?)       0       0%      0
refresh_pattern .                       0       20%     4320
icp_port 3130
coredump_dir /var/spool/squid

Захожу на 192.168.2.100 под пользователем sel_ldap с IP 192.168.1.173. Прописываю ему прокси 192.168.1.77:3128. Открываю ишака и вижу запрос на ввод пароля и пользователя. Ввожу sel_ldap и пароль. Не пускает. Пользователь в группе InternetAccess Значит не работает.

Токо при этом шлюз должен быть в домене под админом.

а что в этом страшного?

CentOS вводить в домен? Боюсь будут проблемы с доступом потом. Сыкатно.

не знаю.. если честно. Был установлен samba4 и я так понимаю со своим LDAP. Значит с LDAP.

А мне кажется что просто закрыты порты между squid  ------ ad

Кстати, да, --=XliN=--,  конфигу iptables со шлюза можно глянуть?