Есть PIX с двумя виртуальными интерфейсами смотрящими в инет, внешние адреса на интерфейсах, предположим, vlan10 - 195.1.1.10/24 и vlan20 - 220.2.2.20/24

Дефолтный маршрут идет на интерфейс vlan10, с него на роутер 195.1.1.1, статический маршрут для сети 220.2.2.20/24 - на роутер 220.2.2.1.

Задача следующая - нужно, чтобы пользователи из мира, обращаясь на 195.1.1.10:80, транслировались на внутренний сервер в inside 192.168.1.10:80, а обращаясь на 220.2.2.20:21 на внутренний сервер в inside 192.168.1.15:21

Проблема в том, что обращения на 195.1.1.10:80 проходят нормально, а вот на 220.2.2.20:21 - нет. При этом, ошибка пикса выглядит так:

PIX-3-710003: TCP access denied by ACL from x.x.x.x/65080 to vlan20:220.2.2.20/21

А при попытке пинга адреса 220.2.2.20 извне, появляется ошибка:

PIX-6-110001: No route to x.x.x.x from 220.2.2.20

На пиксе прописан статический маршрут для сети 220.2.2.20/24, но что интересно, при просмотре его show route, он не показывается!

А еще - при использовании софта версии 7.0(4) такой конфиг работает! Но в 7.0(4) есть проблема - при попытке поднятия динамических crypto-map`ов, железяка уходит в глубокую перезагрузку, поэтому было приянто решение обновить софт...

Помогите, уже третий день вожусь, скоро у ума сойти можно!

Вот часть конфига, касающаяся проблемы:

!
PIX Version 7.2(2)
!
interface Ethernet0
no nameif
no security-level
no ip address
!
interface Ethernet0.10
vlan 10
nameif vlan10
security-level 0
ip address 195.1.1.10 255.255.255.0
!
interface Ethernet0.20
vlan 20
nameif vlan20
security-level 0
ip address 220.2.2.20 255.255.255.0
!
interface Ethernet1
nameif inside
security-level 100
ip address 192.168.1.254 255.255.255.0
!
same-security-traffic permit inter-interface
same-security-traffic permit intra-interface
access-list INSIDE-NAT extended permit ip 192.168.1.0 255.255.255.0 any
access-list ACL-OUT-10 extended permit tcp any host 195.1.1.10 eq www
access-list ACL-OUT-20 extended permit tcp any host 220.2.2.20 eq ftp
mtu vlan10 1500
mtu vlan20 1500
mtu inside 1500
ip verify reverse-path interface vlan10
nat-control
global (vlan10) 1 interface
nat (inside) 1 access-list INSIDE-NAT
static (inside,vlan10) tcp 195.1.1.10 www 192.168.1.10 www netmask 255.255.255.255
static (inside,vlan20) tcp 220.2.2.20 ftp 192.168.1.15 ftp netmask 255.255.255.255
access-group ACL-OUT-10 in interface vlan10
access-group ACL-OUT-20 in interface vlan20
route vlan10 0.0.0.0 0.0.0.0 195.1.1.1 1
route vlan20 0.0.0.0 0.0.0.0 220.2.2.1 2
!