Bár az IPv4 és IPv6 ACL-ek nagyon hasonlók, három jelentős különbség is van közöttük.
- IPv6 ACL alkalmazása
Az első különbség az ACL interfészhez rendelésére használt parancs. Míg IPv4-ben az ip access-group parancs illeszti az IPv4 ACL-t az IPv4-interfészhez, addig az IPv6-ban a ipv6 traffic-filter parancs tölti be ezt a funkciót.
- Nincsenek helyettesítő maszkok
Ellentétben az IPv4 ACL-ekkel, az IPv6 ACL-ek nem használnak helyettesítő maszkokat. Ehelyett az előtag-hossz (prefix-lenght) határozza meg, hogy az IPv6 cél- vagy forráscímből mekkora rész kerüljön vizsgálatra.
- További alapértelmezett utasítások
Az utolsó jelentős különbség, hogy két további, implicit "permit" utasítás került minden IPv6 hozzáférési lista végére. Minden IPv4 normál és kiterjesztett ACL végén van egy implicit deny any vagy deny any any bejegyzés. Az IPv6 is tartalmaz egy hasonló deny ipv6 any any utasítást minden IPv6 ACL végén. A különbség pedig az, hogy alapértelmezés szerint az IPv6-ban még szerepel a két következő implicit bejegyzés:
- permit icmp any any nd-na
- permit icmp any any nd-ns
Ez a két utasítás teszi lehetővé a forgalomirányító számára, hogy részt vegyen az IPv4 ARP-jéhez hasonló IPv6-címfeloldásban. Emlékezzünk, hogy az IPv4 ARP-je oldja fel a 3. rétegbeli IP-címeket 2. rétegbeli MAC-címekké! Ahogy az ábrán is látható, az IPv6 ICMP Neighbor Discovery (ND) üzenetekkel végzi el ugyanezt. Az ND két üzenettípust használ, amelyek a Neighbor Solicitation (NS) és a Neighbor Advertisement (NA).
Az ND üzenetek IPv6-csomagokba ágyazva közlekednek, és igénybe veszik az IPv6 hálózati rétegének szolgáltatásait, míg az IPv4 ARP nem használja a harmadik réteget. Mivel az IPv6 alkalmaz 3. rétegbeli szolgáltatást a hálózatfelderítéshez (ND), ezért az IPv6 ACL-eknek értelemszerűen engedélyezniük kell az interfészen az ND-csomagok küldését és fogadását. Tehát, mind a Neighbor Discovery - Neighbor Advertisement (ND-NA), mind a Neighbor Discovery - Neighbor Solicitation (ND-NS) üzenetek engedélyezve vannak.