O melhor que eu criei até agora é usar cache_peer
like
cache_peer XXX.XXX.XXX.XXX parent 80 0 no-query no-digest login=<user>:<pass>
never_direct allow all
para fazer o squid se conectar ao proxy de autenticação.
Parece funcionar se eu testar com curl -x http://127.0.0.1:3128 ifconfig.me
, mas não tenho certeza se é ideal ou se há outros fatores que eu deva considerar.