duda con acl de squid

[ramo_net]

Tengo una duda con las acl de squid.
Con la siguiente configuración

acl groc dstdomain .groc.es
acl becario src 192.168.13.25
acl localnet src 192.168.13.0/24
http_access allow becario !groc
http_access allow localnet

Creo que el host becario no tendria que tener acceso a la web www.groc.es pero parece que squid interpreta que ha de seguir leyendo reglas y al final no aplica la regla y le da acceso.

Si substituyo la regla por

http_access deny becari groc_es

si que funciona. Pero me quedo con la duda de porqué falla la anterior.
Alguien me lo podria aclarar???

Graaaacias.

[AlvaroG]

sin haber echado un ojo al manual, quizás sea porque squid continúa leyendo las reglas, y en la regla siguiente estás dando acceso a toda la "localnet", de la cual el host becario es parte. ¿Qué sucede si cambiás el orden de las reglas? (poniendo la regla para becario luego de la regla para localnet)

[ramo_net]

Gracias por responder Alvaro pero no funciona cambiando el orden

[AlvaroG]

He estado mirando el manual, y creo que sé por qué encuentras ese comportamiento.

Una regla http_access aplica solamente si todas las ACL se cumplen (se hace un AND).

Cuando pones "becario !groc" lo que estás diciendo es que se da acceso (se aplica la regla) si el host es "becario" y el dominio no es "groc". Hasta ahí, correcto.

Si el dominio es "groc", la regla no se aplica, porque !groc es falso y entonces (becario AND !groc) es falso. Lo que tú buscabas es que se aplique también el complemento de la regla (si no está permitido, está denegado), pero no es así como funciona, al parecer. Finalmente al host se le permite el acceso porque aplica la regla siguiente.

Espero haberme explicado bien, la descripción del comportamiento está en http://wiki.squid-cache.org/SquidFaq/SquidAcl

[ramo_net]

Te has explicado perfectamente. Mil gracias!!!!!