Не работает access-list. Что не так?
Вы совершенно правы. На маршрутизаторах с IOS трафик инициированный самим маршрутизатором не попадает под ACL.
Если есть такая критичная необходимость не пустить трафик наружу, то самый простой вариант - заворачивать целевой трафик на loopback интерфейс с помощью локального route-map-а.
ip local policy route-map
Надеюсь, что не глупость скажу, но озвучу 2 своих версии, что приходят на ум:
1) Нельзя вешать более одного ACL на интерфейс/протокол/направление
2) ACL не действует на трафик, сгенерированный самим маршрутизатором (Ваш случай)