>Кто подскажет, как маломальски грамотный юзверь может прятать свой IP? Знаю точно,
>что трафик в сотнях мегов, но по Сквидовскому логу его не
>вижу. Некоторое время назад все было на ура. А теперь данный
>юзверь побывал на "грамотных" курсах и видимо что-то там подчерпнул... Ломаю
>голову а решить проблему не могу.
спрятать ip он не может, вероятнее всего она влкючил HTTP порт туннель через чужой прокси и висит на нем. отследить и зарубить трудно. методы работы туннеля читай здесь http://www.htthost.com/quick_overview.boa
если юзается SSL/CONNECT mode  тогда еще можно зарубить метод CONNECT, но если юзается Remote host method ,  то имхо никак. следи по логам кто ты чется на порты типа 3128, 81, 8081 b  8080 и им подобные , по команде netstat -a на серваке наблюдай чьи сесси непрервыно висят на этих портах и на 80 порту (поскольку чужай прокся и на этом порту может слушать, но это не часто !)  
советую поставить себе такую же прогу  стого сайта . короче выявлять и административными методами наказывать .
ищи в логах строчки типа CONNECT имяхоста_или_ip_адрес.com:3128
так сможешь найти туннельщика если он юзает метод CONNECT