Так, запутался окончательно.

на 2821 на fast eth по vlan 7 сидит сервак c ip у.у.у.254 255.255.255.252 (y.y.y.253 на стороне 2821 vlan-нитерфейса).

Хотел разрешить вход на сервак только с адресов y.y.y.18 255.255.255.240 - это мой комп и x.x.x.x.14 255.255.255.252 - отсюда снимается статистика по нетфлоу. (плюс иногда открывать www и ftp, но это сейчас пока не критично.)
Попробовал сделать как обычно:

int vlan 7
  ip acc-gr 7 in
  ip acc-gr 77 out

ip access-list 7 permit x.x.x.14
ip acces-list 7 permit y.y.y.18
ip access-list 77 permit any

И получился ахтунг - не пингуется сервак с у.у.у.18 и все тут. Прописал расширенный лист с источниками (x.x.x.14, y.y.y.18 и получателем y.y.y.254), все равно не пускает. Сделал пока так: но вопрос остался - как сделать правильно, почему не заработало?

!
no aaa new-model
!
resource policy
!
ip subnet-zero
!
!
ip cef
!
!
!
!
!
!
interface GigabitEthernet0/0
description Connection to C
ip address x.x.x.14 255.255.255.252
ip route-cache flow
duplex auto
speed auto
!
interface GigabitEthernet0/1
no ip address
shutdown
duplex auto
speed auto
!
interface FastEthernet0/3/0
description Trunk Connection to Catalyst
switchport mode trunk
duplex full
speed 100
!
interface FastEthernet0/3/1
description VLAN 7 to NETUP UTM Server
switchport access vlan 7
duplex full
speed 100
!
interface FastEthernet0/3/2
shutdown
!
interface FastEthernet0/3/3
!
interface Vlan1
no ip address
no mop enabled
!
interface Vlan7
ip address y.y.y.253 255.255.255.252
ip access-group 7 out
!
interface Vlan101
description For Test perpouse only connection
no ip address
!
interface Vlan103
description Connection to 3-rd flore
no ip address
!
interface Vlan112
description Connection to 12-th flore
ip address y.y.y.249 255.255.255.252
!
interface Vlan123
description Our connection to Internet
ip address y.y.y.17 255.255.255.240
!
ip classless
ip route 0.0.0.0 0.0.0.0 x.x.x.13
ip flow-export version 5
ip flow-export destination y.y.y.254 9996
!
ip http server
!
access-list 7 permit x.x.x.14
access-list 7 permit y.y.y.18
snmp-server community public RO