про squid и группы и ldap

допустим есть сквид, лдав, в лдапе база следуйшего строения
testdomain
|
`--ou=users
в юзаерх есть в часности места для пароля, и строка gecos которую я планирую использовать для хранения информации о группе у пользователя.
пишу следуйшее в конфиг сквида
auth_param basic program /usr/lib/squid/ldap_auth  -v 3 -b "ou=Users,dc=testdomain,dc=ru" -h 127.0.0.1
далее пишу 
external_acl_type mygroup %LOGIN /usr/lib/squid/squid_ldap_group -v 3 -h 127.0.0.1 -b "ou=Users,dc=testdomain,dc=ru" -f "(&(uid=%s)(gecos=*mygroup*))"
и не че не работает.
поправте если не прав, сквид отдает информацию типа юзер группа к squid_ldap_group а тот в свою очаредь отвечает да или нет ?
а как сделать фильтрацию при данном запросе по какому либо элементу, ну вот допустим 
dn: uid=test,ou=Users,dc=testdomain,dc=ru
uid: test
objectClass: account
objectClass: posixAccount
objectClass: top
objectClass: uidObject
gecos: тут_пишу_группы_в_строку
userPassword:: e0NSWVBUfUk0VVhONEJqbTRHLy4=
допустим как сделать чтобы squid_ldap_group проверял у целевого юзера поле gecos и есля там находил чегонить типа mygroup то считал его пользователм данной группы.