...и снова на экране Cisco+Squid+iptables

Господа!
Помогите разобраться, где я ошибся. Конфигурация:
       +-----+   +----------+
       |     |   | RedHat   |
       |Cisco|   |          |
INET<--|     |---|Web+Squid |
       +-----+   +----------+
          |      xxx.xxx.xxx.243     
          |          
          |     +----------+
          +-----| Firewall |-->INTRANET
                +----------+   192.168.1.0
                
На Cisco прописал:
access-list 100 deny tcp host xxx.xxx.xxx.243 any eq 80
route-map proxyredir permit 10
 match ip address 100
 set ip next-hop xxx.xxx.xxx.243
interface FastEthernet 0
 ip policy route-map proxyredir
 
В squid.conf:
httpd_accel_host virtual
httpd_accel_port 80
httpd_accel_with_proxy on 
httpd_accel_uses_host_header on
и для начала - http_access allow all

На сервере:
iptables -t nat -A PREROUTING -i eth0 -p tcp --dport 80 -j REDIRECT --to-port 3128

Вроде бы все должно работать и оно работает, но как-то не так.
Кешируются заходы извне (чужие !!!) на веб-сервер и извнутри на внутренний веб-сервер, 
а на запросы на внешние сервера не кешируются, т.е. они в access.log не отображаются.
Где грабли? Как мне добится того, чтобы мои юзеры из локалки смогли ходить через squid?

С благодарностью,
Владимир