é muito difícil enganar a ACL do roteador e fazê-la aceitar que uma conexão é permitida.

um invasor não pode deslizar um pacote depois da ACL do roteador, mesmo que para isso ele tente definir o flag ACK do pacote.

um dispositivo de ponta pode bloquear um grande volume do tráfego e atuar na primeira linha de defesa para o perímetro da rede.

a verificação de um pacote em relação a uma lista de controle de acesso não consome ciclos do roteador no processador, e muitos roteadores aceitam automaticamente todas as conexões estabelecidas anteriormente, verificando a ACL.