PROXY - проблема с настройкой для корректной авторизации в AD

[nan]

Коллеги! подскажите ответ или намекните хоть малость, всю голову сломал... в какую сторону копать?

Собственно:
Прокся в прозрачном режиме работает, авторизацию пользователи проходят по керберос. Часть юзеров добавлена в OU=SQUIDGroup, часть юзеров не добавлена, но когда включена Web Proxy Single Sign-On - то все юзеры ломятся в инет (в прозрачном режиме), если Web Proxy Single Sign-On - то запрашивает логин и пароль (но даже тот юзер, что находится в OU-SQUIDGroup - не может авторизоваться, хоть и добавлен на проске в список юзеров и проходит Tester).

В итоге требуется: 1. отрезать от инета юзеров которых нет в OU. 2. По возможности авторизация пользователей должна проходить прозрачно (без ввода логина/пароля).

Как быть?

100 машин в сети поэтому не вариант работать по IP, только с UserName