NAT, ルーティング, ACL の適用順序に関しては、製品によってマチマチだからなあ…
同じ Cisco でもルータと FW で一緒か、っていうとそうとも言えない気が。