Связь Cisco ASA 5505 между VLAN

У меня есть ASA 5505 под управлением 8.4 с несколькими внутренними сетями:

• внутри: 10.1.0.0/16
• mfg: 10.2.0.0/16
• оператор: 10.6.0.0/24

Я хочу, чтобы внутренняя и производственная сети имели полный доступ друг к другу, а внутренняя сеть должна иметь полный доступ к внешней стороне. Я хочу, чтобы внутренние сети и сети mfg имели полный доступ к сети оператора, но я хочу, чтобы сеть оператора имела доступ только к указанным хостам mfg через указанные порты и не имела внешнего доступа. С моей конфигурацией потоки трафика между внутренней сетью и сетью mfg, а также между внутренней и внешней сетью, не могут заставить оператора с ограниченным доступом к сети mfg работать.

Я попытался добавить «входящий» список доступа в сеть mfg, чтобы разрешить доступ к портам из сети оператора (группа доступа acl_mfg_in в интерфейсе mfg), но это, похоже, не работает. Похоже, он применяет ACL к физическому интерфейсу вместо интерфейса mfg vlan, это правильно? Как я могу добиться того, чего хочу?

О, и у меня есть лицензия Security Plus.

: Saved
: Written by enable_15 at 12:15:13.442 PDT Tue Mar 19 2013
!
ASA Version 8.4(4)1 
!
!
interface Ethernet0/0
 switchport access vlan 201
!
interface Ethernet0/1
 switchport trunk allowed vlan 1,20,60,70,201
 switchport trunk native vlan 1
 switchport mode trunk
!
interface Ethernet0/2
!
interface Ethernet0/3
!
interface Ethernet0/4
!
interface Ethernet0/5
!
interface Ethernet0/6
!
interface Ethernet0/7
!
interface Vlan1
 nameif inside
 security-level 100
 ip address 10.1.1.1 255.255.0.0 
!
interface Vlan20
 nameif mfg
 security-level 100
 ip address 10.2.0.1 255.255.0.0 
!
interface Vlan60
 nameif operator
 security-level 20
 ip address 10.6.0.1 255.255.255.0 
!
interface Vlan201
 nameif outside
 security-level 0
 ip address A.B.C.D
!
boot system disk0:/asa844-1-k8.bin
ftp mode passive
clock timezone PDT -7
dns server-group DefaultDNS
 domain-name example.com
same-security-traffic permit inter-interface
object network obj_any
 subnet 0.0.0.0 0.0.0.0
object network subnet_inside
 subnet 10.1.0.0 255.255.0.0
object network subnet_mfg
 subnet 10.2.0.0 255.255.0.0
object network subnet_operator
 subnet 10.6.0.0 255.255.255.0
object network host_mfg_cdc1
 host 10.2.0.12
object-group service ports_active_directory
 service-object icmp echo
 service-object icmp echo-reply
 service-object tcp destination eq 135 
 service-object tcp destination range 1025 1026 
 service-object tcp destination eq ldap 
 service-object tcp-udp destination eq domain 
 service-object tcp destination eq 445 
 service-object tcp destination eq netbios-ssn 
 service-object udp destination range netbios-ns netbios-dgm 
 service-object udp destination eq 389 
 service-object tcp-udp destination eq 88 
 service-object udp destination eq ntp 
object-group service ports_dns
 service-object tcp-udp destination eq domain 
access-list acl_mfg_in extended permit object-group ports_active_directory object subnet_operator object host_mfg_cdc1 log 
nat (inside,outside) source dynamic any interface
!
class-map inspection_default
 match default-inspection-traffic
!
!
policy-map type inspect dns preset_dns_map
 parameters
  message-length maximum client auto
  message-length maximum 512
policy-map global_policy
 class inspection_default
  inspect dns preset_dns_map 
  inspect ftp 
  inspect h323 h225 
  inspect h323 ras 
  inspect rsh 
  inspect rtsp 
  inspect esmtp 
  inspect sqlnet 
  inspect skinny  
  inspect sunrpc 
  inspect xdmcp 
  inspect sip  
  inspect netbios 
  inspect tftp 
  inspect ip-options 
  inspect icmp 
!
service-policy global_policy global
prompt hostname context 
no call-home reporting anonymous