доброго дня всем! помогите с возникнувшей на пустом месте проблемой. есть шлюз, на котором стоит Centos 7 и Squid 3.3.8  
вот конфиг сквида:

acl admin src 192.168.1.40 192.168.1.13
acl mechanik src 192.168.1.122
acl ournetwork src 192.168.1.55
acl all src 0.0.0.0/0.0.0.0
acl m2 rep_mime_type ^video
acl m3 rep_mime_type ^audio
acl media url_regex -i \.mp3 \.asf \.wma \.rar \.zip \.torrent \.avi

acl SSL_ports port 443
acl Safe_ports port 80        # http
acl Safe_ports port 21        # ftp
acl Safe_ports port 443        # https
acl Safe_ports port 70        # gopher
acl Safe_ports port 210        # wais
acl Safe_ports port 1025-65535    # unregistered ports
acl Safe_ports port 280        # http-mgmt
acl Safe_ports port 488        # gss-http
acl Safe_ports port 591        # filemaker
acl Safe_ports port 777        # multiling http
acl Safe_ports port 5190    # ICQ
acl CONNECT method CONNECT

# Deny requests to certain unsafe ports
http_access deny !Safe_ports
# Deny CONNECT to other than secure SSL ports
http_access deny CONNECT !SSL_ports
# Only allow cachemgr access from localhost
#http_access allow localhost manager
#http_access deny manager
# We strongly recommend the following be uncommented to protect innocent
# web applications running on the proxy server who think the only
# one who can access services on "localhost" is a local user
#http_access deny to_localhost

http_access allow admin
http_reply_access deny m2 !admin
http_reply_access deny m3 !admin
reply_body_max_size 5 MB !mechanik !admin
http_access deny !admin media
http_access allow ournetwork
http_access deny all

# Squid normally listens to port 3128
http_port 3128

# Uncomment and adjust the following to add a disk cache directory.
cache_dir ufs /var/spool/squid 100 16 256
# Leave coredumps in the first cache dir
coredump_dir /var/spool/squid
#
# Add any of your own refresh_pattern entries above these.
#
refresh_pattern ^ftp:        1440    20%    10080
refresh_pattern ^gopher:    1440    0%    1440
refresh_pattern -i (/cgi-bin/|\?) 0    0%    0
refresh_pattern .        0    20%    4320

соответственно, насколько я понимаю, источникам из листа acl admin разрешено все.
то есть, должно сработать так - при поступлении запроса на порт 3128 просматриваются правила - доходит до
http_access allow admin
и разрешает доступ адресу 192.168.1.40 в интернет, так как правило соответствует условию в acl. дальше просмотр правил прекращается.
на деле же, если я сделаю так:

http_access allow admin
http_reply_access deny m2 # то есть убрал "!admin"
http_reply_access deny m3

то при попытке скачать mp3 файл у меня на странице появляется сообщение, что доступ запрещен и обратитесь к root.

собственно сам вопрос: я неправильно понимаю работу сквида или это какой-то глюк?
ведь по идее если приходит запрос с адреса 192.168.1.40, то второе правило уже просматриваться не должно...