eNSP无法实现单向acl么？求大神指点。

做了vlan，nat，dhcp的实验，都没问题。最后想做一个Server2所在的Vlan2不能被其他人访问，但不影响Vlan2向外发出的流量。写了下面的命令。

Advanced ACL 3000, 3 rules
Acl's step is 10
 rule 10 deny tcp destination 192.168.2.0 0.0.0.255 tcp-flag syn  
 rule 20 deny icmp destination 192.168.2.0 0.0.0.255 icmp-type echo 
 rule 30 permit ip 

Advanced ACL 3001, 6 rules
Acl's step is 10
 rule 10 permit icmp destination 192.168.2.0 0.0.0.255 icmp-type echo-reply 
 rule 20 permit tcp destination 192.168.2.0 0.0.0.255 tcp-flag ack  
 rule 30 permit tcp destination 192.168.2.0 0.0.0.255 tcp-flag rst  
 rule 40 permit udp destination 192.168.2.0 0.0.0.255 
 rule 50 deny ip destination 192.168.2.0 0.0.0.255 
 rule 60 permit ip 
#
interface GigabitEthernet0/0/2
 port link-type trunk
 port trunk allow-pass vlan 2 to 4094
 traffic-filter inbound acl 3001

写了两条acl，都依次试过了，无论后面加不加icmp-type或者 tcp-flag，效果都跟没有这个参数一样。
接口上应用acl，流量进不来，出去也回不来。
接口上去掉acl，一切恢复。
另外，用traffic-policy的方法也试过，跟上面的现象一样，完全没效果。
是我哪里写的有问题，还是eNSP的问题呀。求大神指点。