squid 3 basic auth

[nokogerra]

Доброго времени суток, недавно поднимал тему по squid3 + negotiate auth в AD через kerberos+keytab, это дело заработало прекрасно, но решил я дополнить negotiate basic аутентификацией из файла для недоменных пользователей, и наткнулся непонятно на какую проблему о_О, логин пароль запрашиваются, но не узнаются, жмяк ок - и никакого эффекта, окно авторизации висит дальше. Итак: debian6, squid3, htpasswd (apache2-utils)
htpasswd

Spoiler

htpasswd -c /etc/squid3/local_squid_users squiduser1
htpasswd /etc/squid3/local_squid_users squiduser2
....

проверил:
root@SquidErgo:/etc/squid3# /usr/lib/squid3/ncsa_auth /etc/squid3/local_squid_users
squiduser1 rubyruby
OK
squiduser3
ERR
squiduser3 123
OK

конфиг сквида:

Spoiler

auth_param basic program /usr/lib/squid3/ncsa_auth /etc/squid3/local_squid_users
auth_param basic children 5
auth_param basic realm Squid proxy-caching web server
auth_param basic credentialsttl 2 hours
auth_param basic casesensitive off
.............
acl basic_users proxy_auth "/etc/squid3/local_squid_users"
.....
http_access allow basic_users

сделал не acl basic_users proxy_auth REQUIRED ибо в этом же свкиде использую negotiate и доменные группы.
в access.log все просто:

Spoiler

1365562472.249 0 10.0.2.232 TCP_DENIED/407 4355 GET http://mfc22.ru/ - NONE/- text/html
1365562472.272 0 10.0.2.232 TCP_DENIED/407 4458 GET http://mfc22.ru/ - NONE/- text/html
1365562480.079 0 10.0.2.232 TCP_DENIED/407 4458 GET http://mfc22.ru/ - NONE/- text/html
1365562557.803 0 10.0.2.232 TCP_DENIED/407 4458 GET http://mfc22.ru/ - NONE/- text/html

в cache.log (пробую под локальным пользователем, ибо под доменным разу проходит прозрачная negotiate авторизация)

Spoiler

2013/04/10 09:54:32| authenticateNegotiateHandleReply: Error validating user via Negotiate. Error returned 'BH received type 1 NTLM token'
2013/04/10 09:57:24| authenticateNegotiateHandleReply: Error validating user via Negotiate. Error returned 'BH received type 1 NTLM token'

логично что error validating user via negotiate, специально залогинились локальным пользователем чтобы проверить basic auth, непонятно при чем тут ntlm token
кто что подскажет?

[McSim]

мне кажется траблшутить basic auth с включенным negotiate auth слишком проблематично.
Стоит оставить только basic с acl basic_users proxy_auth REQUIRED. Заставить данную схему работать, потом пытаться заставить работать acl basic_users proxy_auth /список/пользователей, а уже потом заставить работать basic вместе с negotiate.