Доброго времени суток, господа.
Замучался уже, подскажите кто знает, почему SAMS/SQUID запрещает доступ абсолютно ко всем страницам.
Настроил аутентификацию ntlm. wbinfo выдает положительные результаты.
В логах вижу что пользователь прошел аутентификацию. Например:
# tail -f /var/log/squid/access.log
1251232833.996      0 192.168.8.8 TCP_DENIED/407 1775 GET http://tyndex.ru/ - NONE/- text/html
1251232834.002      0 192.168.8.8 TCP_DENIED/407 2007 GET http://tyndex.ru/ - NONE/- text/html
1251232834.011      8 192.168.8.8 TCP_DENIED/403 1417 GET http://tyndex.ru/ ZZZYYY+administrator NONE/- text/html

Конфиг сквида дефолтовый почти. Вот различия.

# diff /etc/squid/squid.conf /etc/squid/squid.conf.default
1d0
< # created by SAMS _sams_ 2009-8-26 0:40:3
265,267c264,266
< auth_param ntlm program /usr/bin/ntlm_auth --helper-protocol=squid-2.5-ntlmssp
< auth_param ntlm children 5
< auth_param ntlm keep_alive on
---
> #auth_param ntlm program <uncomment and complete this line to activate>
> #auth_param ntlm children 5
> #auth_param ntlm keep_alive on

274,278c273,277
< auth_param basic program /usr/bin/ntlm_auth --helper-protocol=squid-2.5-basic
< auth_param basic children 5
< auth_param basic realm Squid proxy-caching web server
< auth_param basic credentialsttl 2 hours
< auth_param basic casesensitive off
---
> #auth_param basic program <uncomment and complete this line>
> #auth_param basic children 5
> #auth_param basic realm Squid proxy-caching web server
> #auth_param basic credentialsttl 2 hours
> #auth_param basic casesensitive off

407,408d405
< acl _sams_4a8d947344eca proxy_auth "/etc/squid/4a8d947344eca.sams"
< acl _sams_4a8d947344eca_time time MTWHFAS 00:00-23:59
601d597
< http_access allow _sams_4a8d947344eca  _sams_4a8d947344eca_time  
3053d3048
< visible_hostname gateway.local

Т.е. как видно добавлена только ntlm аутентификация, параметр visible_hostname, а всё остальное добавил сам самс. Во временных файлах создаваемых sams типа /etc/squid/4a8d947344eca.sams содержатся пользователи в каждой строке одному(с доменом и без), вот так:
ZZZYYY+zoidberg
gena
ZZZYYY+guest
guest

Конфиг сквида менял именно там где стоят дефолтовые значения, т.е. SAMS ориентируется по меткам "TAG", так как и положено по инструкции.

Что может быть?