доброго дня всем! помогите с возникнувшей на пустом месте проблемой. есть шлюз, на котором стоит Centos 7 и Squid 3.3.8  
вот конфиг сквида:

acl admin src 192.168.1.40 192.168.1.13
acl mechanik src 192.168.1.122
acl ournetwork src 192.168.1.55
acl all src 0.0.0.0/0.0.0.0
acl m2 rep_mime_type ^video
acl m3 rep_mime_type ^audio
acl media url_regex -i \.mp3 \.asf \.wma \.rar \.zip \.torrent \.avi

acl SSL_ports port 443
acl Safe_ports port 80        # http
acl Safe_ports port 21        # ftp
acl Safe_ports port 443        # https
acl Safe_ports port 70        # gopher
acl Safe_ports port 210        # wais
acl Safe_ports port 1025-65535    # unregistered ports
acl Safe_ports port 280        # http-mgmt
acl Safe_ports port 488        # gss-http
acl Safe_ports port 591        # filemaker
acl Safe_ports port 777        # multiling http
acl Safe_ports port 5190    # ICQ
acl CONNECT method CONNECT

# Deny requests to certain unsafe ports
http_access deny !Safe_ports
# Deny CONNECT to other than secure SSL ports
http_access deny CONNECT !SSL_ports
# Only allow cachemgr access from localhost
#http_access allow localhost manager
#http_access deny manager
# We strongly recommend the following be uncommented to protect innocent
# web applications running on the proxy server who think the only
# one who can access services on "localhost" is a local user
#http_access deny to_localhost

http_access allow admin
http_reply_access deny m2 !admin
http_reply_access deny m3 !admin
reply_body_max_size 5 MB !mechanik !admin
http_access deny !admin media
http_access allow ournetwork
http_access deny all

# Squid normally listens to port 3128
http_port 3128

# Uncomment and adjust the following to add a disk cache directory.
cache_dir ufs /var/spool/squid 100 16 256
# Leave coredumps in the first cache dir
coredump_dir /var/spool/squid
#
# Add any of your own refresh_pattern entries above these.
#
refresh_pattern ^ftp:        1440    20%    10080
refresh_pattern ^gopher:    1440    0%    1440
refresh_pattern -i (/cgi-bin/|\?) 0    0%    0
refresh_pattern .        0    20%    4320

соответственно, насколько я понимаю, источникам из листа acl admin разрешено все.
то есть, должно сработать так - при поступлении запроса на порт 3128 просматриваются правила - доходит до
http_access allow admin
и разрешает доступ адресу 192.168.1.40 в интернет, так как правило соответствует условию в acl. дальше просмотр правил прекращается.
на деле же, если я сделаю так:

http_access allow admin
http_reply_access deny m2 # то есть убрал "!admin"
http_reply_access deny m3

то при попытке скачать mp3 файл у меня на странице появляется сообщение, что доступ запрещен и обратитесь к root.

собственно сам вопрос: я неправильно понимаю работу сквида или это какой-то глюк?
ведь по идее если приходит запрос с адреса 192.168.1.40, то второе правило уже просматриваться не должно...

• порядок работы правил Squid,Andrey Mitrofanov, 16:13 , 10-Мрт-16
  • порядок работы правил Squid,sourvr, 07:48 , 11-Мрт-16

> http_access allow admin
> http_reply_access deny m2 # то есть убрал "!admin"
> http_reply_access deny m3
> то при попытке скачать mp3 файл у меня на странице появляется сообщение,
> что доступ запрещен и обратитесь к root.

http_access  !=  http_reply_access

Это два разных списка доступов, "исполняемых" в разное время.

На первом списке *во время проверки запроса~) админ проходит, а на втором (при проверке реплая~) отказ по типу медии (m2|m3).

>> http_access allow admin
>> http_reply_access deny m2 # то есть убрал "!admin"
>> http_reply_access deny m3
>> то при попытке скачать mp3 файл у меня на странице появляется сообщение,
>> что доступ запрещен и обратитесь к root.
> http_access  !=  http_reply_access
> Это два разных списка доступов, "исполняемых" в разное время.
> На первом списке *во время проверки запроса~) админ проходит, а на втором
> (при проверке реплая~) отказ по типу медии (m2|m3).

спасибо большое. по логике это подходит. правда я думал, что если правило сработало, то другие уже не просматриваются