>[оверквотинг удален]
>>> http://habrahabr.ru/post/121806/
>>> Wildcard mask
>>> http://habrahabr.ru/post/131712/
>> Спасибо за ссылки, но мне бы все-таки хотелось услышать в чем моя
>> ошибка, статьи эти я читал, но в чем в моем случае
>> косяк я не понял и гугл смотрел но пока не доходит
>> в чем дело, собственно за этим сюда и пришел.
> ACL - просто набор правил, его еще надо на нужном интерфейсе в
> нужное направление повесить, вы показали только какой-то хвост...
> Кроме того пример с ftp плохой, т.к. ftp использует минимум 2 порта....

Хорошо, подробнее опишу:
Есть расширенный acl LIST1, который висит на внешнем интерфейсе в режиме out:
ip access-group LIST1 out

Туда пишу только разрешающие правила, сейчас пока так:

ip access-list extended LIST1
permit tcp any any eq domain
permit tcp any any eq www
permit tcp any any eq 443

Собственно вся подсеть ходит наружу только на www и https, если я добавлю правило:
permit tcp any any eq ftp - то вся подсеть ходит на ftp без проблем, но мне надо, чтобы доступ к ftp или вообще для всех портов имели определенные ip из моей подсети, вот это как раз и не получается сделать.
Есть еще правила inspect, которые тоже висят на внешнем интерфейсе в режиме out:
ip inspect name I_OUT dns
ip inspect name I_OUT icmp router-traffic
ip inspect name I_OUT ntp
ip inspect name I_OUT tcp router-traffic
ip inspect name I_OUT udp router-traffic
ip inspect name I_OUT http
ip inspect name I_OUT https
ip inspect name I_OUT ftp

Больше никаких правил запрета/разрешения доступа к портам наружу нет.