Хитрая аутентификация в SQUID

Есть необходимость сделать аутентификацию для пользования инетом, но нужно соблюсти следующее:
Авторизация должна идти не просто по пользователю, но и по его MAC-адресу (дополнительная проверка), а некоторым вообще в определённое время.
Кто делал подобное?
Пробую так:

acl all 0.0.0.0/0.0.0.0

acl pass1 proxy_auth user1 root admin
acl pass2 proxy_auth user2
acl pass3 proxy_auth user3
acl pass4 proxy_auth user4
acl pass5 proxy_auth user5

acl work1 time MTWHF 09:00-16:00
acl work2 time MTWHF 12:00-18:00
acl work3 time AS 00:00-23:59

acl arp_user1 arp 00:00:00:00:00:01
acl arp_user2 arp 00:00:00:00:00:02
acl arp_user3 arp 00:00:00:00:00:03
acl arp_user4 arp 00:00:00:00:00:04
acl arp_user5 arp 00:00:00:00:00:05
acl arp_root arp 00:00:00:00:00:06
acl arp_admin arp 00:00:00:00:00:07

теперь собственно и хочу всё завязать, но ведь в правилах больше двух условий неможет быть! Если совпадёт хоть одно, то другое не рассмотрится!

Тут разрешаем всё и всегда
http_access allow pass1 arp_root
http_access allow pass1 arp_admin
http_access allow pass1 arp_user1

Тут уже в только в выходные
http_access allow arp_user2 pass2
http_access allow arp_user2 work3
Но вот как только первое сработало правило, то второе уже не смотрится..
И так далее...

http_access allow arp_user3 pass3
http_access allow arp_user3 work2

http_access allow arp_user4 pass4
http_access allow arp_user4 work1

http_access allow arp_user5 pass5
http_access allow arp_user5 !work1

Подскажите умную мысль!
А то уже не знаю как их крутить эти правила...
Там ещё и резалки по порно и по закачке ограничения и редиректоры...
дело в том, что авторизация по адресам тоже нужна, чтобы не имело смысла давать пароли.
Голова кругом уже.
Заранее спасибо!