MSR2600 V5版本如何限製公網訪問NAT出去的端口

社區找了這個方法：

1、需要開啟防火牆功能
firewall enable

2、配置ACL，先寫某些IP地址允許訪問公網的端口，最後再寫某些IP地址不允許訪問公網的端口。匹配動作為deny（拒絕），
acl advanced 3001
rule 0 permit tcp source 允許是IP地址 0 destination 公網地址 0 destination-port eq 開放的端口號
rule 100 deny tcp source 禁止的IP地址 0 destination 公網地址 0 destination-port eq 開放的端口號

3、在外網端口使能ACL出方向
int g0/1
firewall packet-filter 3001 outbound (出方向)

實際情況：

acl number 3000 name Only-whitelist-permit
rule 0 permit tcp source 允許是IP地址 0 destination 公網地址 0 destination-port eq 開放的端口號
rule 1 deny ip

應用到出接口後，總是匹配到 rule 1 deny ip，rule 0沒匹配到，導致全部拒絕了，匹配規則選auto和config都一樣。