Cuando el tráfico ingresa al router, se compara con todas las ACE en el orden en que las entradas se encuentran en la ACL. El router continúa procesando las ACE hasta que encuentra una coincidencia. El router procesa el paquete según la primera coincidencia y no se examinan más ACE.
Si no se encuentran coincidencias cuando el router llega al final de la lista, se deniega el tráfico. Esto se debe a que, de manera predeterminada, hay una denegación implícita al final de todas las ACL para el tráfico sin coincidencias con una entrada configurada. Una ACL de entrada única con solo una entrada de denegación tiene el efecto de denegar todo el tráfico. Se debe configurar al menos una ACE permit en una ACL. En caso contario, se bloquea todo el tráfico.
Para la red en la ilustración, si se aplica la ACL 1 o la ACL 2 a la interfaz S0/0/0 del R1 en el sentido de salida, se obtiene el mismo resultado. A la red 192.168.10.0 se le permite acceder a las redes a las que puede llegar mediante S0/0/0, mientras que a 192.168.11.0 no se le permite acceder a esas redes.