ACL 中通常遵循 deny by default 的原则，即默认拒绝所有流量，再通过 permit 允许特定流量。