squid external acl

Здравствуйте уважаемые.
Вопрос следующий - есть подсеть 10.1.1.0/24, в ней есть хост 10.1.1.2 .
Для подсети существует:
acl subnet 10.1.1.0/24
Так же, на хосте 10.1.1.2 есть пользователь входящий в группу deny_grp,
необходимо чтобы этому пользователю было запрещено лазать в инет.
Что попытался сделать:
external_acl_type group-deny_grp ttl=120 children=40 %LOGIN wbinfo_group.pl
acl domain proxy_auth REQUIRED
acl deny_grp external group-deny_grp DOMAIN+deny_grp

http_access deny domain deny_grp
http_access allow subnet
В итоге разумеется инет не работает на subnet без авторизации.
Вопрос: как сделать так чтобы из этой подсети запрещено было ходить только данной группе. Заранее спасибо.