Access lista do cryptomapy

[rzirzi]

jest taka crypto mapa:

crypto map mapaisakmp 10 ipsec-isakmp
set peer xx.xx.xx.xx
set transform-set abc
match address 101

do niej access-lista:
access-list 101 permit ip 192.168.22.0 0.0.0.255 192.168.1.0 0.0.0.255
access-list 101 permit ip host 192.168.22.200 host 10.10.10.200

działa, ale jak dodam na początku (jako pierwszy) wpis:
access-list 101 permit ip 192.168.22.0 0.0.0.255 any

- przestaje działać, ale jak ten sam wpis dodam na końcu access-listy 101 - wszystko działa jak trzeba.
Poprzez "przestaje działać" - mam na myśli, że z sieci 192.168.22.0/24 nie mogę osiągnąć docelowej 192.168.1.0/24.
Dlaczego tak jest?

[lbromirs]

Robisz to już po zestawieniu SA? Clearowałeś tunel po zmianie ACLki? Co pokazują liczniki 'sh crypto ipsec sa' jak działa i jak "nie działa"?

[rzirzi]

Tak - już po zestawieniu SA. Rozumiem, że to błąd. Nie clearowałem tunelu. Dziękuję za podpowiedzi, jak sprawdzę - dam znać czy pomogło.