Сеть поеделена на vlan, каждая сеть натится через свой пул внешних ip. Необходимо запретить трафик между vlan, и разрешить выходить в интернет. Вот конфиг

interface FastEthernet0/0
description INTERNET
ip address 193.*.*.17 255.255.255.224
ip nat outside
ip virtual-reassembly in
duplex auto
speed auto
!
interface FastEthernet0/1
description LAN
ip virtual-reassembly in
duplex auto
speed auto
!
interface FastEthernet0/1.2
encapsulation dot1Q 2
ip address 172.16.0.1 255.255.254.0
ip nat inside
ip virtual-reassembly in
!
interface FastEthernet0/1.3
encapsulation dot1Q 3
ip address 172.16.2.1 255.255.254.0
ip nat inside
ip virtual-reassembly in
!

!
ip nat pool first_ip 193.*.*.7 193.*.*.7 netmask 255.255.255.224
ip nat pool second_ip 193.*.*.21 193.*.*.21 netmask 255.255.255.224
ip nat inside source list 20 pool first_ip overload
ip nat inside source list 30 pool second_ip overload
ip route 0.0.0.0 0.0.0.0 193.*.*.1
!
logging esm config
access-list 20 permit 172.16.0.0 0.0.1.255
access-list 30 permit 172.16.2.0 0.0.1.255
access-list 102 permit ip any host 193.*.*.7
access-list 103 permit ip any host 193.*.*.21

Если я делаю так

ip access-list extended first_network
permit ip any 172.16.0.0 0.0.1.255

interface FastEthernet0/1.2
encapsulation dot1Q 2
ip address 172.16.0.1 255.255.254.0
ip nat inside
ip virtual-reassembly in
ip access-group first_network out

тогда хост из первой сети не пингует хост из второй, и наоборот, но соответственно в интернет выйти тоже не может. Или в этом случае не acl нужно делать?