Gegeben ist die ACL 'ip access-list extended STATEFUL

Die ACL-Regel 10 permit tcp any any established erlaubt TCP-Verkehr, der zu einer bereits bestehenden Verbindung gehört. Das Schlüsselwort established prüft, ob das ACK- oder das RST-Bit im TCP-Header gesetzt ist. Dies ist ein grundlegendes Merkmal von Stateful Firewalls, die nur den Rückverkehr für ausgehende Verbindungen oder bestehende Verbindungen zulassen. Daher ist TCP-Traffic mit gesetztem ACK-Bit erlaubt, da dies anzeigt, dass das Paket Teil einer etablierten TCP-Sitzung ist. TCP-Traffic mit gesetztem URG-Bit ist nicht spezifisch für die Etablierung einer Verbindung und wird von established nicht berücksichtigt. TCP-Traffic mit gesetztem SYN-Bit würde eine neue Verbindung initiieren und wäre nur erlaubt, wenn die ACL dies explizit zulassen würde (z.B. permit tcp any any eq 80). Die established-Option greift hier nicht. Das DF-Bit (Don't Fragment) ist ein IP-Header-Feld und hat keine Relevanz für den TCP-Verbindungsstatus oder das established-Schlüsselwort.