Как далеко может дотянуться правило MAC в Squid?
Поймите, что Squid может узнать из MAC-адреса клиента на локальном звене и что теряется за маршрутизатором.
Правило прокси на основе MAC может работать для компьютера рядом с сервером Squid и не работать для такого же компьютера в другой подсети. Маршрутизатор меняет то, что прокси может наблюдать.
ARP разрешает адрес канального уровня соседа IPv4 на локальном звене. Он не переносит исходный адрес Ethernet через каждый маршрутизируемый переход. Поэтому клиент, достижимый через удалённый маршрут, не эквивалентен напрямую подключённому соседу только потому, что Squid видит его IP-адрес.
Для IPv4 документация ACL в Squid ограничивает поиск по MAC клиентами той же подсети и требует сборки с соответствующей поддержкой. Проверьте оба условия, прежде чем считать несовпадающее правило MAC ACL опечаткой.
Используйте идентификатор на правильной границе
Для напрямую подключённых клиентов поддерживаемое правило MAC может описывать состояние сети на уровне устройства. Оно всё равно не аутентифицирует человека, который использует это устройство. И не делает сообщённый адрес оборудования неизменяемым.
За маршрутизатором используйте сведения, доступные прокси: контролируемую исходную подсеть, аутентифицированную учётную запись прокси или явно спроектированную интеграцию доверенной идентичности. Чтение таблицы аренды DHCP-сервера — дополнительная система корреляции, а не расширение охвата ARP.
Проверяя правило, нарисуйте путь от клиента до Squid и отметьте каждый маршрутизатор. Затем спросите, действительно ли установленная сборка поддерживает ACL и режим поиска. Эти две проверки объясняют гораздо больше, чем повторная вставка MAC клиента в то же самое правило.