Есть такая схема:
Пара десятков устройств D-Link DI-804HV поднимают динамические IPSec-туннели на Cisco 1760.
D-Link'и настроены по описанию с сайта D-Link'a - http://www.dlink.ru/technical/faq_vpn_4.php

конфиг на циске такой:
!
crypto isakmp policy 1
encr 3des
hash md5
authentication pre-share
group 2
!
crypto keyring VPNSpokes
  pre-shared-key address 192.168.18.0 255.255.255.0 key xxxxxxxxxxx
!
crypto isakmp profile VPNLan2Lan
   description LAN-to-LAN for spoke router(s) connection
   keyring VPNSpokes
   match identity address 0.0.0.0
!
crypto ipsec transform-set SAMPLE_SET esp-3des

crypto dynamic-map dynmap 10
set transform-set SAMPLE_SET
set isakmp-profile VPNLan2Lan
!
crypto map VPNmap 10 ipsec-isakmp dynamic dynmap
!
interface FastEthernet0/0.1
description LAN
encapsulation dot1Q 1 native
ip address 10.0.0.17 255.255.255.0
ip virtual-reassembly
!
interface FastEthernet0/0.170
description From Operator
encapsulation dot1Q 170
ip address 192.168.18.2 255.255.255.0
ip access-group FromOperator in
ip access-group ToOperator out
crypto map VPNmap
!
ip access-list extended FromOperator
remark --= Access for crypto tunnels =--
permit esp 192.168.18.0 0.0.0.255 host 192.168.18.2
permit udp 192.168.18.0 0.0.0.255 host 192.168.18.2 eq isakmp
remark --= ICMP =--
permit icmp 192.168.18.0 0.0.0.255 host 192.168.18.2
deny   ip any any log
!
ip access-list extended ToOperator
remark --= Access for crypto tunnels =--
permit esp host 192.168.18.2 192.168.18.0 0.0.0.255
permit udp host 192.168.18.2 192.168.18.0 0.0.0.255 eq isakmp
remark --= ICMP =--
permit icmp host 192.168.18.2 192.168.18.0 0.0.0.255 echo
deny   ip any any log
!

Необходимо прикрутить аксесс-листы, которые будут фильтровать трафик, приходящий от D-Link'ов внутри туннеля. Например, пропускать ftp, почту, веб, запрещать netbios.

Вопрос в том, что я не знаю, куда прикрутить эти аксесс-листы. Можно ли каким-то образом забиндить IPSec-туннели на некий виртуальный интерфейс типа virtual-template, чтобы применить на нем аксесс-листы?