网络工程 - 在 Catalyst 4500 上的访问列表中引用对象组的意外行为 - 吾爱随笔录

我在 Catalyst 4500 上尝试引用访问列表中的对象组时遇到了一些意外行为。

目标：限制 VLAN 访问其他私有寻址子网（仅限 Internet 访问），另一个子网中的本地 DNS 服务器除外

IOS-XE 版本： 03.03.00.XO 发布软件 (fc2)

通用配置：

object-group network subnet_privateClassA 
 10.0.0.0 255.0.0.0
!
object-group network subnet_privateClassB 
 172.16.0.0 255.240.0.0
!
object-group network subnet_privateClassC 
 192.168.0.0 255.255.0.0
!
object-group network subnet_rfc1918All 
 group-object subnet_privateClassA
 group-object subnet_privateClassB
 group-object subnet_privateClassC
!
!

...

interface Vlan70
 ip address 10.10.70.254 255.255.255.0
 ip access-group publicVlan_in in
!

除了所需的 DNS 服务器 (10.16.4.10) 外，以下访问列表会阻止对私有 IP 范围的访问，但也会阻止对公共 IP 的访问。因此，DNS 能够解析 google.com，但 ping 失败。

ip access-list extended publicVlan_in
 permit ip any host 10.32.4.10
 deny ip any object-group subnet_rfc1918All ! (I've also tried just subnet_privateClassA)
 permit ip any any
!

下一个访问列表完全按照我的意愿工作 - 本地 DNS 工作正常，我可以访问 Internet：

ip access-list extended publicVlan_in
 permit ip any host 10.32.4.10
 deny   ip any 10.0.0.0 0.255.255.255
 deny   ip any 172.16.0.0 0.15.255.255
 deny   ip any 192.168.0.0 0.0.255.255
 permit ip any any
!

问题似乎是对象组的使用。我在这里错过了什么？