Al igual que las ACL estándar, las ACL extendidas pueden filtrar el tráfico según la dirección de origen. Sin embargo, las ACL extendidas también pueden filtrar el tráfico según la dirección de destino, el protocolo y el número de puerto. Esto permite que los administradores de red tengan más flexibilidad en cuanto al tipo de tráfico que se puede filtrar y dónde colocar la ACL. La regla básica para la colocación de una ACL extendida es colocarla lo más cerca posible del origen. Esto evita que el tráfico no deseado se envíe a través de varias redes y luego sea denegado cuando llegue a destino.

Los administradores de red solo pueden colocar ACL en los dispositivos que controlan. Por lo tanto, la colocación se debe determinar en el contexto de hasta dónde se extiende el control del administrador de red. En la ilustración, se muestra que el administrador de la empresa A, que incluye las redes 192.168.10.0/24 y 192.168.11.0/24 (denominadas .10 y .11 en este ejemplo), desea controlar el tráfico a la empresa B. Lo que el administrador desea específicamente es denegar el tráfico de Telnet y FTP de la red .11 a la red 192.168.30.0/24 de la empresa B (.30 en este ejemplo). Al mismo tiempo, se debe permitir que el resto del tráfico de la red .11 salga de la empresa A sin restricciones.

Existen varias formas de lograr estos objetivos. Una ACL extendida en el R3 que bloquee Telnet y FTP de la red .11 cumpliría el objetivo, pero el administrador no controla el R3. Además, esta solución también permite que el tráfico no deseado cruce toda la red y luego sea bloqueado en el destino. Esto afecta la eficacia general de la red.

Una mejor solución es colocar una ACL extendida en el R1 que especifique tanto las direcciones de origen como las de destino (redes .11 y .30, respectivamente) y que aplique la regla “no se permite que el tráfico de Telnet y FTP de la red .11 vaya a la red .30”. En la ilustración, se muestran dos interfaces posibles en el R1 para aplicar la ACL extendida: