Не пойму почему но не работает конструкция типа
src boss {
ip 10.10.1.1
ip 10.10.1.2
}

если указана подсеть
src al {
ip 10.10.1.0/24
}

то работает... все перезапускал ... идей уже не осталось
и еще какой порядок прохождения по секции acl?
Те кто попал первым , далее не проверяется?