iptables приём соединений только с одного адреса

и в иптаблес лезть незачем для этого, просто acl в squid настроить и всё

Про ACL в Squid уже сказали а так как ты хочешь как-то так:

iptables -A INPUT -s 10.10.10.10 -m tcp -p tcp --dport 3128 -j ACCEPT
iptables -A INPUT -m tcp -p tcp --dport 3128 -j REJECT --reject-with icmp-port-unreachable

спасибо, оказалось так просто
а насчет ACL, разве его можно настроить так, чтобы порт именно был недоступен?
то есть скажем при скане nmap, порт выглядел как закрытый

Можно сделать так чтоб его ваще небыло видно что он там открыт замесь «REJECT --reject-with icmp-port-unreachable» использовать DROP

P.S: REJECT это по этикету «послать» вежливо

ну да, лучше reject, в случае drop будет очевидно, что порт пытаются прятать
а вообще, например, порты на которых ничего не висит, то есть закрытые, линукс отдает как reject?

> а вообще, например, порты на которых ничего не висит, то есть закрытые, линукс отдает как reject?
Если iptables такой пакет не зарезал, то да.

> а насчет ACL, разве его можно настроить так, чтобы порт именно был недоступен?

то есть скажем при скане nmap, порт выглядел как закрытый

Если настроишь ACL в самом приложении, то сканер увидит порт как открытый и даже можно будет установить соединение на порт, но затем уже само приложение (прокси сервер в данном случае) закроет соединение после проверки ACL.
Надёжность такого метода лежит на совести разработчиков сервиса.

Я лично обычно прикрываю фаерволом по возможности, лишнее obsсurity не помешает (конечно в дополнении).

вот, и я об этом
спасибо, теперь всё ясно