Сделал аутентификацию в домене для squid через керберос в ubuntu16.04. Изменения в конфиге, относительно дефолтного, минимальны:
auth_param negotiate program /usr/lib/squid3/negotiate_kerberos_auth -s HTTP/squid.home.lo
auth_param negotiate children 200 startup=10 idle=10
auth_param negotiate keep_alive on
acl auth proxy_auth REQUIRED
http_access allow auth

При этом, в лог ложится большое количество TCP_DENIED/407. Например, при заходе на ya.ru, в лог ложится:
1465151447.251  33921 192.168.1.101 TCP_TUNNEL/200 2339 CONNECT mc.yandex.ru:443 mitiok@HOME.LO HIER_DIRECT/2a02:6b8::1:119 -
1465151447.255  32988 192.168.1.101 TCP_TUNNEL/200 1313 CONNECT mc.yandex.ru:443 mitiok@HOME.LO HIER_DIRECT/2a02:6b8::1:119 -
1465151447.318      0 192.168.1.101 TCP_DENIED/407 4074 CONNECT mc.yandex.ru:443 - HIER_NONE/- text/html
1465151447.536    275 192.168.1.101 TCP_MISS/302 579 GET http://ya.ru/ mitiok@HOME.LO HIER_DIRECT/2a02:6b8::3 -
1465151447.562      1 192.168.1.101 TCP_DENIED/407 4046 CONNECT ya.ru:443 - HIER_NONE/- text/html
1465151448.141      1 192.168.1.101 TCP_DENIED/407 4074 CONNECT yastatic.net:443 - HIER_NONE/- text/html
1465151448.147      0 192.168.1.101 TCP_DENIED/407 4074 CONNECT yastatic.net:443 - HIER_NONE/- text/html
1465151448.152      0 192.168.1.101 TCP_DENIED/407 4074 CONNECT yastatic.net:443 - HIER_NONE/- text/html
1465151448.289      0 192.168.1.101 TCP_DENIED/407 4074 CONNECT yastatic.net:443 - HIER_NONE/- text/html
1465151449.670      0 192.168.1.101 TCP_DENIED/407 4078 CONNECT www.yandex.ru:443 - HIER_NONE/- text/html
1465151449.966      0 192.168.1.101 TCP_DENIED/407 4098 CONNECT www.tns-counter.ru:443 - HIER_NONE/- text/html
1465151450.376    152 192.168.1.101 TCP_MISS/200 2250 POST http://ocsp2.globalsign.com/gsorganizationvalsha2g2 mitiok@HOME.LO HIER_DIRECT/2400:cb00:2048:1::6810:18d8 application/ocsp-response
1465151450.466    431 192.168.1.101 TCP_TUNNEL/200 3513 CONNECT www.tns-counter.ru:443 mitiok@HOME.LO HIER_DIRECT/2001:6d0:4001::2 -
1465151450.503      0 192.168.1.101 TCP_DENIED/407 4098 CONNECT www.tns-counter.ru:443 - HIER_NONE/- text/html
1465151450.769    243 192.168.1.101 TCP_TUNNEL/200 712 CONNECT www.tns-counter.ru:443 mitiok@HOME.LO HIER_DIRECT/2001:6d0:4001::2 -

Почему не срабатывает аутентификация на некоторых запросах? Как чинить?

• TCP_DENIED/407,ipmanyak, 07:19 , 07-Июн-16
• TCP_DENIED/407,ramzes3000, 11:05 , 22-Мрт-18

> Почему не срабатывает аутентификация на некоторых запросах? Как чинить?

конфиг сквида приводить нужно полностью, может у вас акселями что-то забрито, а телепатов тут нет. А сквид у вас случаем не в прозрачном режиме настроен? В прозрачном режиме аутентификация в сквиде не работает.

Q: Могу ли я использовать proxy auth с прозрачным проксированием?
A: Нет, не можете. При прозрачном проксировании ПО клиента считает, что обращается напрямую к серверу и никогда не посылает заголовок Proxy-authorization.

>[оверквотинг удален]
> - HIER_NONE/- text/html
> 1465151450.376    152 192.168.1.101 TCP_MISS/200 2250 POST http://ocsp2.globalsign.com/gsorganizationvalsha2g2
> mitiok@HOME.LO HIER_DIRECT/2400:cb00:2048:1::6810:18d8 application/ocsp-response
> 1465151450.466    431 192.168.1.101 TCP_TUNNEL/200 3513 CONNECT www.tns-counter.ru:443
> mitiok@HOME.LO HIER_DIRECT/2001:6d0:4001::2 -
> 1465151450.503      0 192.168.1.101 TCP_DENIED/407 4098 CONNECT www.tns-counter.ru:443
> - HIER_NONE/- text/html
> 1465151450.769    243 192.168.1.101 TCP_TUNNEL/200 712 CONNECT www.tns-counter.ru:443
> mitiok@HOME.LO HIER_DIRECT/2001:6d0:4001::2 -
> Почему не срабатывает аутентификация на некоторых запросах? Как чинить?

Всем привет.

Такая же ситуация. Тормозят все страницы.
Решения не нашел.
CentOS 7
Squid Cache: Version 4.0.23

Часть конфига:
Остальное стандарт.

auth_param negotiate program /usr/lib64/squid/negotiate_kerberos_auth -s HTTP/sq.****.**
auth_param negotiate children 200 startup=5 idle=1
auth_param negotiate keep_alive on

external_acl_type InetFull ttl=300 negative_ttl=60 %LOGIN /usr/lib64/squid/ext_kerberos_ldap_group_acl  -a -g InetFull -D AD.***.***.**

acl auth proxy_auth REQUIRED

http_port 3128
https_port 3129 intercept ssl-bump cert=/etc/squid/squidCA.pem

sslcrtd_program /usr/lib64/squid/security_file_certgen -s /var/spool/squid/ssl_db -M 16MB
sslcrtd_children 16 startup=1 idle=1

ssl_bump splice all

================

Логи такие же

1521212235.869    986 192.168.0.49 TCP_TUNNEL/200 587 CONNECT segodnya.ua:443 user@AD.***.***.** HIER_DIRECT/91.238.193.16 -
1521212235.871      0 192.168.0.49 TCP_DENIED/407 4141 CONNECT c.lentainform.com:443 - HIER_NONE/- text/html
1521212235.972   1351 192.168.0.49 TCP_TUNNEL/200 3327 CONNECT counter.yadro.ru:443 user@AD.***.***.** HIER_DIRECT/88.212.196.105 -
1521212235.974      0 192.168.0.49 TCP_DENIED/407 4113 CONNECT utarget.ru:443 - HIER_NONE/- text/html
1521212235.995   1122 192.168.0.49 TCP_TUNNEL/200 6424 CONNECT xk1o.amgload.net:443 user@AD.***.***.** HIER_DIRECT/185.187.81.38 -
1521212236.071     10 192.168.0.49 TCP_DENIED/407 4125 CONNECT loadercdn.com:443 - HIER_NONE/- text/html
1521212236.071   3576 192.168.0.49 TCP_TUNNEL/200 6585 CONNECT inv-nets.admixer.net:443 user@AD.***.***.** HIER_DIRECT/146.0.227.110 -
1521212236.072      0 192.168.0.49 TCP_DENIED/407 4165 CONNECT n7-r1d2.piguiqproxy.com:443 - HIER_NONE/- text/html
1521212236.081   1202 192.168.0.49 TCP_TUNNEL/200 6447 CONNECT kz9c.piguiqproxy.com:443 user@AD.***.***.** HIER_DIRECT/185.187.81.35 -
1521212236.431      0 192.168.0.49 TCP_DENIED/407 4165 CONNECT n9-r1d2.piguiqproxy.com:443 - HIER_NONE/- text/html
1521212236.670 398190 192.168.0.49 TCP_TUNNEL/200 24519 CONNECT mc.yandex.ru:443 user@AD.***.***.** HIER_DIRECT/213.180.193.119 -
1521212236.672      0 192.168.0.49 TCP_DENIED/407 4141 CONNECT c.novostimira.biz:443 - HIER_NONE/- text/html
1521212236.723   3511 192.168.0.49 TCP_TUNNEL/200 7708 CONNECT n4p-ru.redtram.com:443 user@AD.***.***.** HIER_DIRECT/62.244.25.75 -
1521212236.725      0 192.168.0.49 TCP_DENIED/407 4141 CONNECT c.novostimira.biz:443 - HIER_NONE/- text/html