Qual configuração de ACL estendida nega HTTP de 192.168.240.0/20 para 10.125.128.32/27, mas permite que 192.168.240.0/20 alcance o restante de 10.0.0.0/8?

A opção correta usa a máscara curinga (wildcard mask) apropriada para cada rede e especifica a porta HTTP (80). A primeira linha (10) nega o tráfego TCP da rede de origem 192.168.240.0/20 (máscara curinga 0.0.15.255) para o destino 10.125.128.32/27 (máscara curinga 0.0.0.31) na porta 80 (HTTP). A segunda linha (20) permite o tráfego IP da mesma rede de origem para toda a rede 10.0.0.0/8 (máscara curinga 0.255.255.255), garantindo que o restante do tráfego seja permitido. A terceira linha (30) nega qualquer outro tráfego, o que é uma prática recomendada para ACLs explícitas. A primeira opção está incorreta porque usa a máscara de sub-rede em vez da máscara curinga e especifica a porta 443 (HTTPS) em vez da 80 (HTTP). A terceira opção inverte as redes de origem e destino na primeira linha e também usa a porta 443. A quarta opção tem uma linha redundante (10) que nega HTTP para "any" antes de negar especificamente para o destino desejado, o que não é eficiente e pode causar comportamentos inesperados dependendo da ordem.