ACL 'ip access-list extended STATEFUL 10 permit tcp any any established 20 deny ip any any' が与えられた場合、どのTCPパケットが許可されますか？

正解は「ACKビットが設定されたTCPトラフィックが許可されます。」です。ACLのestablishedキーワードは、TCPセッションが既に確立されていることを示します。これは、TCPヘッダーのACKビットまたはRSTビットが設定されているパケットに一致します。したがって、SYNパケット（セッション確立の最初のステップ）やURGビットが設定されたパケットは、established条件では許可されません。DF（Don't Fragment）ビットはIPヘッダーの一部であり、TCPセッション確立とは無関係なので、このACLの許可条件には影響しません。