Настраиваю Squid + Kerberos + AD Windows Server 2008

Куча материала на английском и на русском (в том числе на лоре).

Debian 7.4 stable

Squid 3.3.8-1.2 собран пакет из сырцов что в unstable

Но мне не дает покоя один вопрос - берем стандартную строчки конфига squid.

auth_param negotiate program /usr/lib/squid3/negotiate_kerberos_auth -d -s HTTP/proxy.domain.local

auth_param negotiate children 20 startup=0

auth_param negotiate keep_alive on

external_acl_type ldap_autoriz %LOGIN /usr/lib/squid3/ext_ldap_group_acl -R -d -b DC=DOMAIN,DC=local -D squid@domain.local -W /etc/squid3/pass -f "(&(sAMAccountName=%v)(memberOf=CN=%a,CN=Users,DC=DOMAIN,DC=local))" adserver.domain.local

Коннектится, работает, аутентификация проходит, авторизация (проверка на включение в группу). НО - пароль для юзера squid передается в открытом виде и прекрасно палится tcpdump'ом. Как этого избежать? Все перекопал - ничего внятного :(