> Здравствуйте уважаемые пользователи форума.
> Прошу Вашей помощи.
> Задача вот какая, есть ftp сервер к которому нужно обращаться только по
>  ftp и админу надо разрешить ВСЁ!, IP админа 10.0.0.10/24. Также
> надо чтобы FTP шел в интернет, конфигурирую  след.образом:
> ip access-list extended for-ftp-server
>  permit tcp any host 40.0.0.2 eq www
>  permit tcp any host 40.0.0.2 eq ftp
>  permit ip host 10.0.0.10 host 40.0.0.2

при ftp используется не только ftp, а от режима еще и направления разные, неговоря уже про порты.
> ip access-group for-ftp-server out

а out это в куда?
> Все работает как нужно, только ftp все ровно в интернет не идет.
> https://cloud.mail.ru/public/EbRm/bFdcfr74U так сеть выглядит!
> Помогите пожалуйста разобраться, пробовал сам, но так и не понял как это
> нужно реализовать. Заранее благодарен!!! :)

>[оверквотинг удален]
> надо чтобы FTP шел в интернет, конфигурирую  след.образом:
> ip access-list extended for-ftp-server
>  permit tcp any host 40.0.0.2 eq www
>  permit tcp any host 40.0.0.2 eq ftp
>  permit ip host 10.0.0.10 host 40.0.0.2
> ip access-group for-ftp-server out
> Все работает как нужно, только ftp все ровно в интернет не идет.
> https://cloud.mail.ru/public/EbRm/bFdcfr74U так сеть выглядит!
> Помогите пожалуйста разобраться, пробовал сам, но так и не понял как это
> нужно реализовать. Заранее благодарен!!! :)

Ну давайте разберем Ваш пример:
Читаем слева-направо:
1 разрешаем TCP-трафик ОТ ЛЮБОГО хоста на хост 40.0.0.2 НА 80 порт (www)
2 разрешаем TCP-трафик ОТ ЛЮБОГО хоста на хост 40.0.0.2 НА 21 порт (ftp)
3 разрешаем ЛЮБОЙ IP-трафик C хоста 10.0.0.10 на хост 40.0.0.2
4 запрещаем ВСЕ ОСТАЛЬНЫЕ соединения (последнее правило по-умолчанию deny ip any any)

Следовательно, по логике, Вы написали ВХОДЯЩЕЕ правило для внешнего интерфейса (ip access-group for-ftp-server in)
Если у Вас внутренняя сеть (10.0.0.0?) "сидит" на другом интерфейсе, то вряд ли этот трафик придет через внешний интерфейс, следовательно, 3 правило тут излишне.

Почитайте вот эту статейку http://www.cisco.com/cisco/web/support/RU/9/92/92092_ACLsamp..., там довольно просто описаны ACL для самых распространенных сервисов.

> Здравствуйте уважаемые пользователи форума.
> Прошу Вашей помощи.
> Задача вот какая, есть ftp сервер к которому нужно обращаться только по
>  ftp и админу надо разрешить ВСЁ!, IP админа 10.0.0.10/24. Также
> надо чтобы FTP шел в интернет, конфигурирую  след.образом:

FTP за НАТом?
Если из внешних сетей (интернета) нужно чтобы был доступ к FTP сервису, то какой практический смысл запрещать к нему доступ изнутри? Если прямо очень хочется, то в таком случае гораздо проще сделать это средствами самого FTP сервера/сервиса.
Чтобы полноценно фильтровать FTP, фаервол должен уметь заглядывать "внутрь" FTP протокола, потому что этот протокол является сложным с точки зрения регулирования доступа - он для передачи данных (в том числе листинга файлов) использует отдельное сетевое соединение номером порта 20 с одной стороны и случайно (в общем случае) выбраным номером порта с другой стороны, причем направление соединения зависит о выбранного клиентом режима работы, коих в первоначальной версии протокола два, а в более поздних добавили еще варианты.
По этому - простым аксес-листом не получится полностью отделаться, останутся варианты когда ничего не заработает. Выход - использовать ALG, т.е. либо ip inspect либо Zone Based Firewall. ZBF самый свежий метод.

Пример (бездумно не копировать, а понять смысл):

ip inspect log drop-pkt
zone security LAN
zone security INET
object-group service good_ICMP
 icmp echo
 icmp echo-reply
 icmp parameter-problem
 icmp unreachable
 icmp source-quench
 icmp traceroute
 icmp time-exceeded
ip access-list extended zbfc_ICMP
 permit object-group good_ICMP any any
class-map type inspect match-any zbfc_ICMP
 match access-group name zbfc_ICMP
class-map type inspect match-any zbfc_FTP
 match protocol ftp
class-map type inspect match-any zbfc_INET_IN_SELF
 match protocol ssh
 match protocol ntp
policy-map type inspect zbfp_INET2LAN
 class zbfc_FTP
  inspect
 class class-default
  drop
policy-map type inspect zbfp_INET2SELF
 class zbfc_INET_IN_SELF
  pass
 class zbfc_ICMP
  pass
class-map type inspect match-any zbfc_DROP_OUT
 match protocol bittorrent
 match protocol pptp
 match protocol l2tp
!
class-map type inspect match-any zbfc_INSPECT_OUT
 match protocol ftp
 match protocol tcp
 match protocol udp
 match protocol icmp
policy-map type inspect zbfp_LAN2INET
 class zbfc_DROP_OUT
  drop log
 class zbfc_INSPECT_OUT
  inspect
 class class-default
  pass
zone-pair security zp_INET2LAN source INET destination LAN
 service-policy type inspect zbfp_INET2LAN
zone-pair security zp_INET2SELF source INET destination self
 service-policy type inspect zbfp_INET2SELF
zone-pair security zp_LAN2INET source LAN destination INET
 service-policy type inspect zbfp_LAN2INET
interface Vlan1
  ip nat inside
  zone-member security LAN
interface Dial1
  ip nat outside
  zone-member security INET
ip nat inside static tcp 10.ftp.srv.ip 21 interface Dial1 21