Zugriff auf zweiten Cisco-Switch funktioniert nach ACL-Aktivierung nicht mehr

Das wäre zumindestens etwas komisch, denn die FB kann ja gar keine VLANs. Auch was du mit "Trunk" oben zwischen FB und 1tem Switch meinst ist eigentlich unsinnig wegen der Tatsache das die FB das ja gar nicht kann.
WER routet also deine VLANs ??? Betreibst du ein Layer 3 Design mit einem routenden Switch wie das hier:
OK, wenn du keine ACls am routenden Interface 70 hast, dann hat sich das erledigt.

Musst du sogar dann ! Die FB kann kein Tagging und wenn du das als Trunk mit den VLANs einrichtest wird der gesamte Broad- und Multicast Traffic aller VLANs dort an die FB übertragen der die FritzBox dann mit Framedrops massiv belastet !
Könnte sein...
Das ist ja kinderleicht...

• Switch 1 ist der routende Switch zw. den VLANs, der hat eine Default Route auf die IP der FritzBox
• Switch 2 sieht ja als Router den Switch 1 also hat der seine Default Route auf das Gateway am Switch 1 in seinem Management VLAN.

Du meinst auf dem routenden Switch 1, richtig ? Dynmaische IPs auf einem Router wären generell natürlich Quatsch, weisst du auch selber !
Die ACLs sind Layer 3 ACL, können also grundsätzlich ausschliesslich nur am Switch 1 definiert werden ! Da Switch 2 rein im L2 Mode rennt wären L3 ACLs dort natürlich Unsinn, denn von L3 weiss der ja nix.
Trunk gibts also rein nur zw. den Ports 16 (Sw1) und Port 1 (Sw2). In der VLAN Membership Übersicht sollte da dann 1UP, 100T, 140T, 160T stehen.
Eigentlich ein simples Setup....

Reboot tut gut ! 👍 😉
Da fragst du den absolut Falschen. Wie soll dir ein Forum das denn so pauschal beantworten können ??
Die Vorgaben was du schützen willst oder was nicht bestimmst doch nur DU allein, sprich Security Policy die DU umsetzen willst. Folglich kann es also sehr sinnvoll sein eine ACL zu definieren oder auch nicht wenn dort nix Schützenswertes ist.
Nun muss man hier mal wieder anhand des Regelwerkes wild raten was du erreichen willst, deine Policy kennt ja keiner.
OK, VLAN 1 ist das .70.0er Segment, richtig ?
Unsinnig ist dann die Regel in Zeile 9 !! Wie sollen im 70er IP Netz 180er Absender IPs auftauchen ? Oder hast du im 70er Netz noch einen zusätzlichen Router stehen ? Laut deiner Zeichnung ja nicht...
Zeile 10 ist ebensolcher Blödsinn. Lokaler Traffic rennt doch niemals als "Durchlauferhitzer" über das IP Interface. Weisst du auch selber. Das ist doch eine reine L2 Kommunikation in die das VLAN 1 Router Interface niemals involviert ist.
Kannst du also entfernen solche unsinnigen "Leichen".
Ansonsten ist die ACL syntaktisch richtig !
Das liegt vermutlich an deinem falschen VLAN Design.
Das Koppelnetz zur FritzBox sollte immer ein vollständig getrenntes VLAN sein was :

• Einzig nur am routenden Switch aktiv ist. Z.B. VLAN 99
• Nur eine Verbindung zur FritzBox hat. Ggf. max. noch einen Port für den PiHole /Adguard Filter (Siehe o.a. L3 Tutorial !)

Der Sinn davon ist das Internet VLAN nicht mit Traffic aus produktiven VLANs zu mischen und diese Internet Traffic in ein dediziertes IP Segment zu routen. Genau das ist bei dir nicht der Fall, denn du schleifst dieses Koppelnetz auf den 2ten L2 Switch durch. Kein gutes Design und der Grund deiner L3 Probleme, denn du filterst hier dann den Rückrouten Traffic der FritzBox und sägst dir damit dein Internet ab. Das rührt duchr dein falsches Design das Koppelnetz zur Fritze NICHT in ein separates VLAN gelegt zu haben ! Halte dich da strikt an das o.a. L3 Tutorial bzw. die dir oben gezeigt Skizze !!
Hier die ToDos:

• Routing nur auf dem 1ten Switch aktivieren
• 2ter Switch L2 only und nur mit den VLANs am Trunk die da benötigt werden.
• Dediziertes VLAN als Koppelnetz zur FB NUR an Switch 1, PiHole / AdGuard hier platzieren
• Management VLAN ist ein separates VLAN was nur über die Switches 1 und 2 liegt und NICHT zur FritzBox führt. Klar, denn internes Management soll da nicht hin.
• ACLs dann nur an den produktiven VLAN IP Interfaces Switch 1 (L3 Switch) außer Koppel VLAN zur FB !

Richtig !
Kann man so machen oder du legst da dein Management rein. Die Switch IPs sind ja im Default immer in 1 und das ist bei MSSID APs usw. auch so. Im Heimnetz kann man sowas machen...
Nein, müssen nicht. Man kann...
Das ist ja das Gute an der Sache ein dediziertes Koppel VLAN zur FB zu haben. Damit kannst du dann dediziert deinen Internet Traffic steuern...wenn du willst.
Erstmal enkoppelst du alle deine Produktiv VLANs davon so das deine ACLs in diesen VLANs erstmal rein nur den VLAN Traffic untereinander steuern und festlegen ob das Segment überhaupt Internet draf oder nicht.
Das 900er Koppel VLAN bleibt erstmal außen vor und bekommt keine ACL.
Mit dem Schritt sollten dann alle deine o.a. Regelwerke sauber laufen.
Nun kannst du dir überlegen ob du an 900 etwas einschränkst.
Dabei solltest du beachten das du in der Regel INBOUND Regeln nutzt. INBOUND an 900 bedeutet aber Traffic der VON der FB IN das 900er IP Interface fliesst. Beachte das in der Logik der ACL.
Alternativ kannst du dort OUTBOUND Regeln nutzen die aber deutlich weniger effektiv sind als inbound Regeln.
Es ist also wenig sinnvoll da am 900er Interface dann zu filtern.
Besser ist immer das in den inbound ACLs der VLANs zu machen was du dort an Internet Traffic erlauben willst und was nicht. Das 900er sollte dann frei bleiben.

Für ein Heimnetz sicher tolerabel in Firmennetzen ein NoGo.
Aus welcher Info dort hast du das denn abgeleitet ?? Dort steht doch mit keinem Wort in welchem der lokalen VLANs das Management Netz liegt !
Normal liegt es ja immer in 1, also dann auch in einem lokalen VLAN und nicht im Transfer VLAN 99 !
Der Switch tut quasi so als ob 99 schon das Internet ist.

Das wird funktionieren wenn du alles richtig machst !

Bis auf den Schritt 6 mit der freud'schen Fehlleistung bei der Gateway IP und das Beten nicht zur IT gehört ist alles korrekt !