Есть роутер Cisco 3620 c 2я интерфейсами:

! Внутренний интерфейс
interface Ethernet0/0
ip address ааа.ааа.ааа.ааа 255.255.255.252
ip access-group 101 in
ip route-cache flow
no cdp enable

! Внешний интерфейс (смотрит на провайдера)
interface Ethernet0/1
ip address ввв.ввв.ввв.ввв 255.255.255.252
ip route-cache flow
no cdp enable

access-list 101 permit ip еее.еее.еее.еее 0.0.0.3 any
access-list 101 permit ip еее.еее.еее.еее 0.0.0.3 any
access-list 101 permit ip еее.еее.еее.еее 0.0.0.3 any
access-list 101 permit ip еее.еее.еее.еее 0.0.0.3 any
access-list 101 permit ip еее.еее.еее.еее 0.0.0.3 any
и т.д.

ACL на внутреннем интерфейсе создает свои сложности. Например с роутера невозможно установить связь с узлами городской сети если не внести их в ACL.

Можно ли (и правильным ли будет это решение) поставить ip access-group 101 in
на внешний интерфейс ?

Правильно ли будет считаться Netflow статистика в этом случае ?