access-group in e out differenze

[garcetto]

ciao a tutti!
un problema che mi fa diventare matto...
ho un pix e sto facendo qualche prova per imparare.
dunque
ho due host, uno un inside uno in outside (client e server web/netcat).
senza access list (come di norma con asa) da dentro vado verso l'host in outside, e fin qui tutto ok.
se metto una access-group acl-blockall in su inside che blocca tutto, mi blocca ogni pacchetto, ed ancora tutto come da previsione.
SE PERO' metto una acceess-group OUT interface inside NON mi blocca una mazza da dentro a fuori! (sebbene l'access-list sia corretta, e blocchi tutto).

la stessa cosa ho notato succede con outside, se metto un access-group blockall IN interface outside, MENTRE con access-group blockall OUT interface outside blocca...ma perche?

[garcetto]

forse mi rispondo da solo...
e' perche' il pix considera SEMPRE l'ORIGINE del traffico.
e su quella applica l'access-group.
per esempio il traffico che si rogina dall'inside dell' inside NON risponde alla regola che sega il traffico outside dell inside, perche' esso NON e' partito da li...chiaro no?:)
buon natale