киса 5509, иос 12.1(25)

типа:
ip nat inside source list 101 interface vlan 101
access-list 101 permit ip host ip1_того_кто_идет_наружу host ip3_куда_идет
access-list 101 permit ip host ip2_того_кто_идет_наружу host ip4_куда_идет
access-list 101 deny ip any any

или же надо писать правила еще и для обратных трансляций:
access-list 101 permit ip host ip3 host ip1
access-list 101 permit ip host ip4 host ip2

что вообще в станд.ACL для NAT подразумевается под access-list 1 permit ip0 ??? адрес хоста, который инициирует трансляцию? и еще: проверяется ли этот ACL, если идет ответ снаружи, когда таймаут на обратную трансляцию nat истек и запись удалилась?