Cisco ASA per-user ACL

[StSphinx]

Приветствую, коллеги! Ковыряю я тут "стюардессу" - ASA5520(софт 9.1(5)21) на предмет назначения ACL через Radius.

Пользователи подключаются через IPSec/L2TP, из Радиуса прилетает атрибут с именем ACL:

Filter-ID=<ACL_NAME>

В show vpn-sessiondb detail ra-ikev1-ipsec

вижу, что ACL назначается, но увы, фактически не отрабатывает. 

Соответственно и счетчики hit нулевые.

 

ACL простой до изнеможения:

access-list acl1 extended permit ip any4 host 192.168.0.10 
access-list acl1 extended permit ip any4 host 192.168.0.12 
access-list acl1 extended deny ip any any

 

Пробовал как standart так и extended ACL, роли не играет.

Опция 

no sysopt connection permit-vpn

присутствует.

Кто решал подобную задачу, поделитесь мудростью пожалуйста.