Cisco Pix 501 anpingen von außerhalb verbieten

Noch mal Hallo zusammen,

ich habe hier eine Cisco Pix 501 stehen.
Das Problem ist, die soll von drinnen nach draußen pingen können aber
von außen soll man sie nicht anpingen können.

Mein Ansatz war das mit der Access-list zu machen, die auf der access-group im outside Interface liegt zu machen.

Aber wenn ich dann sage...

access-list ext deny icmp any host xxxxxxxxx

dann ist er immer noch von draußen erreichbar also anpingbar.

Was mache ich denn falsch??