Здравствуйте.

Провайдер выделил для подключения интернет восьми адресную сеть 1.1.1.0/29
1.1.1.1 является шлюзом у провайдера, остальные адреса можно использовать.
Имеется роутер Cicso 1841 и установленный на нем модуль HWIC-4ESW, версия IOS c1841-advipservicesk9-mz.124-25a.bin.

Провод провайдера заходит в interface FastEthernet0/0/0

К interface FastEthernet0/0/3 подключено два устройства (с белыми IP 1.1.1.5, 1.1.1.6) к которым надо ограничить доступ из интернет.

Ограничиваю в access-list 105. Но правило почему-то не срабатывает, пакеты до 1.1.1.5 доходят с любого хоста.
Это особенность модуля 4ESW или что-то делаю не правильно?

Конфиг прилагается:

no aaa new-model
ip cef
!
ip auth-proxy max-nodata-conns 3
ip admission max-nodata-conns 3
!
no spanning-tree vlan 1
no spanning-tree vlan 2
no spanning-tree vlan 3
!
interface FastEthernet0/0
ip address 10.0.1.2 255.255.255.0
ip nat inside
ip virtual-reassembly
speed auto
full-duplex
!
interface FastEthernet0/1
no ip address
ip virtual-reassembly
shutdown
duplex auto
speed auto
!
interface FastEthernet0/0/0
switchport access vlan 2
no cdp enable
!
interface FastEthernet0/0/1
switchport access vlan 3
no cdp enable
!
interface FastEthernet0/0/2
switchport access vlan 3
no cdp enable
!
interface FastEthernet0/0/3
switchport access vlan 2
no cdp enable
!
interface Vlan1
no ip address
shutdown
!
interface Vlan2
ip address 1.1.1.2 255.255.255.248
ip access-group 105 in
ip nat outside
ip virtual-reassembly
no mop enabled
!
interface Vlan3
ip address 10.0.2.1 255.255.255.0
ip nat inside
ip virtual-reassembly
no mop enabled
!
ip default-gateway 1.1.1.1
no ip forward-protocol nd
ip route 0.0.0.0 0.0.0.0 1.1.1.1
ip route 10.0.1.0 255.255.255.0 10.0.1.1
ip route 10.0.0.0 255.255.255.0 2.2.2.2
!
no ip http server
no ip http secure-server
ip nat inside source static tcp 1.1.1.2 22 interface Vlan2 22
ip nat inside source static 10.0.1.1 1.1.1.2 route-map nonat
ip nat inside source static tcp 10.0.2.201 80 1.1.1.3 80 extendable
ip nat inside source static tcp 10.0.2.202 80 1.1.1.4 80 extendable
!
access-list 105 permit ip host 2.2.2.2 host 1.1.1.5
access-list 105 permit ip host 2.2.2.2 host 1.1.1.6
access-list 105 deny   ip any host 1.1.1.5
access-list 105 deny   ip any host 1.1.1.6
access-list 105 permit ip any any
access-list 150 deny   ip host 10.0.1.1 10.0.0.0 0.0.0.255
access-list 150 permit ip host 10.0.1.1 any
no cdp run
!
route-map nonat permit 10
match ip address 150
!
control-plane