http://www.cisco.com/JP/support/public/ht/q_a/100/1006420/44-j.shtml#qa17

上に書いてある通りACKかRSTにビットが含まれてるパケットしか通さない
10.1.1.0/24からの最初のパケットにはACKもRSTもビットが立ってないのでドロップされる

インターネットとの接続みたいに内側からのアクセスは許可するけど外側から内側へのアクセスはさせたくない場合なんかに使われてたらしい
外側のI/Fにinでかいておけばの内部からの戻りパケットにはACKが立ってるので通信できるけど
外側から内側へのアクセスにはパケットにACKが立ってないからドロップしてくれる

わかりずらいけどｗ