эээ... acl он в ТСАМ-е, не в ЦПУ. были циско-свитчи с косяком. у них малтикаст на range 224.0.0.x (по-моему весь) обрабатывался исключительно в ЦПУ. может, у вас такое же хулиганство? тогда опять таки Л2 аксеслисты на вход должны помочь с блокировкой