Dlaczego tak
Reguły listy ACL są sprawdzane od góry i pierwsza pasująca kończy sprawdzanie, więc deny any odrzuca wszystkie pakiety, zanim dojdzie do reguły permit. Na końcu każdej listy działa niejawne deny any, więc wystarczy lista z samą regułą permit; w numerowanej ACL nie da się wstawić reguły wyżej, dlatego tworzy się ją od nowa. Maska odwrotna 0.0.0.255 jest poprawna, a zmiana kierunku przeniosłaby blokadę na ruch wychodzący z interfejsu.