Списки контроля доступа определяют набор правил, обеспечивающих дополнительный контроль над пакетами, которые принимаются интерфейсами, транзитными пакетами, которые передаются через маршрутизатор, а также пакетами, которые отправляются из интерфейсов маршрутизатора. Списки контроля доступа не применяются к пакетам, созданным маршрутизатором.

ACL-списки сконфигурированы для применения к входящему или исходящему трафику, как показано на рисунке.

Последняя запись любого ACL-списка — это всегда "косвенный отказ" (эта строчка не видна). Это правило автоматически вставляется в конец каждого ACL-списка, хотя и не присутствует в нём физически. Косвенный отказ блокирует весь трафик. По причине этого неявного запрета ACL-список, не содержащий хотя бы одного разрешающего правила, блокирует весь трафик.