Добрый день!

Стоит задача изолировать влан (46), но при этом разрешить доступ на хосты данной подсети с сетей: 192.168.40.0/24 (влан 40) и 192.168.43.0/24 (влан 43).

Создаю ACL правила:
ip access-list extended education
permit ip 192.168.46.0 0.0.0.255 192.168.46.0 0.0.0.255
permit ip 192.168.40.0 0.0.0.255 192.168.46.0 0.0.0.255
permit ip 192.168.43.0 0.0.0.255 192.168.46.0 0.0.0.255
deny ip any any

Вешаю на интерфейс:
interface Vlan46
ip address 192.168.46.1 255.255.255.0
ip access-group education in
ip access-group education out

Проверяю:
Core6509#ping 192.168.46.1 source 192.168.43.1
Type escape sequence to abort.
Sending 5, 100-byte ICMP Echos to 192.168.46.1, timeout is 2 seconds:
Packet sent with a source address of 192.168.43.1
!!!!!
Success rate is 100 percent (5/5), round-trip min/avg/max = 1/1/1 ms

Core6509#ping 192.168.46.1 source 192.168.44.1
Type escape sequence to abort.
Sending 5, 100-byte ICMP Echos to 192.168.46.1, timeout is 2 seconds:
Packet sent with a source address of 192.168.44.1
U.U.U
Success rate is 0 percent (0/5)

Вроде работает, но стоит отправить пинги с компьютера, у которого IP адрес 192.168.44.20:
C:\Users\net09>ping 192.168.46.1

Обмен пакетами с 192.168.46.1 по с 32 байтами данных:
Ответ от 192.168.46.1: число байт=32 время<1мс TTL=255
Ответ от 192.168.46.1: число байт=32 время<1мс TTL=255
Ответ от 192.168.46.1: число байт=32 время<1мс TTL=255
Ответ от 192.168.46.1: число байт=32 время<1мс TTL=255

Статистика Ping для 192.168.46.1:
Пакетов: отправлено = 4, получено = 4, потеряно = 0
(0% потерь)
Приблизительное время приема-передачи в мс:
Минимальное = 0мсек, Максимальное = 0 мсек, Среднее = 0 мсек

Пакеты проходят.

Получается с коммутатора пакеты не проходят, а с компьютера проходят.
Прошу помочь и подсказать, может что то не дописал? Возможно есть другие решения данной задачи?

Core6509#sh ip access-lists education
Extended IP access list education
10 permit ip 192.168.46.0 0.0.0.255 192.168.46.0 0.0.0.255 (5 matches)
20 permit ip 192.168.40.0 0.0.0.255 192.168.46.0 0.0.0.255
30 permit ip 192.168.43.0 0.0.0.255 192.168.46.0 0.0.0.255 (10 matches)
50 deny ip any any (28 matches)

Заранее спасибо.

• Правила ACL для изолированной подсети,Аноним, 16:06 , 30-Авг-18
• Правила ACL для изолированной подсети,NoName, 17:40 , 31-Авг-18

>[оверквотинг удален]
> Получается с коммутатора пакеты не проходят, а с компьютера проходят.
> Прошу помочь и подсказать, может что то не дописал? Возможно есть другие
> решения данной задачи?
> Core6509#sh ip access-lists education
> Extended IP access list education
> 10 permit ip 192.168.46.0 0.0.0.255 192.168.46.0 0.0.0.255 (5 matches)
> 20 permit ip 192.168.40.0 0.0.0.255 192.168.46.0 0.0.0.255
> 30 permit ip 192.168.43.0 0.0.0.255 192.168.46.0 0.0.0.255 (10 matches)
> 50 deny ip any any (28 matches)
> Заранее спасибо.

А не пробовали пинговать хосты за маршрутизатором? Routing срабатывает до проверки ACL на выходе из интерфейса. А попав на control-plane с адресатом этому control-plane оно и будет им обработано. В ACL оно не попадет никак.
Поищите в интернете "порядок обработки пакетов на Cisco", откиньте ненужные ipsec/encrypt/decrypt/nat и останется ваша схема чистой маршрутизации с input/output ACL.

Да и вешать один и тот-же ACL на вход и выход на одном интерфесе - это отвратительное решение.

Да так и будет. Почему уже выше написали.
Для полной изоляции лучше использовать vrf.