Az 1. ábra egy olyan ACL-t mutat be, amely engedélyez egy alhálózatot, kivéve annak egy állomását.
Ez az ACL helyettesíti az előző példában levőt, továbbá blokkolja egy adott állomás forgalmát. Az első parancs törli a korábbi ACL 1-t. A következő ACL-utasítás tiltja a 192.168.10.10 című PC1-t. Majd jön a 192.168.10.0/24 hálózat többi állomását engedélyező parancs. Végül az implicit "deny any" tilt minden további hálózatot.
Az ACL újból alkalmazásra kerül a S0/0/0 interfészen kimenő irányban.
A 2. ábrán látható ACL csak egy adott állomást tilt. Ez az ACL is felváltja az előző példában levőt, tiltja a PC1 állomást, de minden más forgalmat engedélyez.
Az első két parancs azonos a korábbi példák utasításaival. Az első törli az ACL 1-t, a második pedig tiltja a 192.168.10.10 című PC 1-t.
A harmadik sor új, engedélyez minden más állomást. Ez azt is jelenti, hogy a 192.168.10.0/24 hálózat állomásai engedélyezettek, kivéve az előző utasításban letiltott PC 1-t.
Ez az ACL a G0/0 interfészre kerül bejövő irányban. Mivel a szűrő csak a 192.168.10.0/24 LAN-ra vonatkozik, sokkal hatékonyabb a bejövő interfészen való elhelyezése. Alkalmazható lenne még a S0/0/0-on kimenő irányában, de akkor az R1-nek fel kellene dolgoznia az összes hálózat forgalmát, beleértve a 192.168.11.0/24-t is.