反掩码详解
网络基础知识（经典）-掩码、反掩码和通配符
网络基础知识（经典）-掩码、反掩码和通配符掩码、反掩码和通配符[b]【掩码、反掩码和通配符】[/b]Mask 用来区分一个IP地址的网络部分和主机部分由左至右连续的“1”来表示网络位的部分，不能被0断开！！连续的“0”用来表示主机位的部分IP地址与掩码做“与”运算，得出的结果就是“网络ID”172.16.0.0255.255.0.0这个组合说明这是一个网络ID，掩码为 /16掩码只能取下面的值：0000 0000 = 01000 0000 = 1281100 0000 = 1921110 0000 = 2241111 0000 = 2401111 1000 = 2481111 1100 = 2521111 1110 = 2541111 1111 = 255“1”表示网络部分的位数，照抄“0”表示主机部分的位数，全0---------------------------------------------------------------------Wild Card (反掩码) 用来表示主机位的个数由右至左连续的"1"来表示主机位的个数，不能被0断开！！一个IP前缀 + 反掩码 = IP地址的范围有反掩码来控制这个范围的大小。
反掩码只能取下面的值：0000 0000 = 0 1个IP地址0000 0001 = 1 2个IP地址0000 0011 = 3 4个IP地址0000 0111 = 7 8个IP地址0000 1111 = 15 16个IP地址0001 1111 = 31 32个IP地址0011 1111 = 63 64个IP地址0111 1111 = 127 128个IP地址1111 1111 = 255 256个IP地址“0”表示不能改变的部分，既被固定的前缀部分。
“1”表示可变的部分，任意取值，既可取的IP地址部分。
例如：172.16.0.00.0.255.255这个组合表示从172.16.0.0~172.16.255.255这65536个IP地址192.168.1.00.0.0.255这个组合表示从192.168.1.0 ~ 192.168.1.255 这256个IP地址12.1.1.10.0.0.0表示所有bit固定不变。
address inverse-mask意思
address inverse-mask意思
在计算机网络中，Address Inverse Mask（地址反掩码）是指将一个网络地址转换为点分十进制表示时，将该地址的所有位都设置为0，而将网络地址的最低位设置为1，从而形成的一个掩码，用于标识该网络地址所属的子网。
例如，假设一个网络的地址为192.168.1.0，子网掩码为255.255.255.0，那么该网络的地址范围为192.168.1.0至192.168.1.255，其中前24位为网络地址，后8位为主机地址。
如果要将该网络地址转换为点分十进制表示，则需要将其所有位都设置为0，即0.0.0.0，而将网络地址的最低位设置为1，即192.168.1.1，形成了一个Address Inverse Mask 为0.0.0.1的掩码，用于标识该网络地址所属的子网。
Address Inverse Mask通常用于路由选择和网络规划等方面，可以帮助确定哪些网络地址属于同一个子网，哪些网络地址属于不同的子网，从而进行有效的网络管理和规划。
第1页/ 共1页。
反掩码
ACL中 wildcard-mask的各种使用方法 -------------------------------------------------------------------------------2009-03-15 16:33:05 标签：ACL wildcard [推送到技术圈]
反掩码 这是因为CISCO规定在ACL中用反向掩玛表示子网掩码，反向掩码为0.0.0.255的代表他的子网掩码为255.255.255.0。 ACL里的掩码也叫inverse mask(反掩码)或wildcard mask(通配符掩码),由32位长的2进制数字组成,4个八位位组.其中0代 表必须精确匹配,1代表任意匹配(即不关心) 反掩码可以通过使用255.255.255.255减去正常的子网掩码得到, 比如要决定子网掩码为255.255.255.0的IP地址172.16.1.0的反掩码: 255.255.255.255-255.255.255.0=0.0.0.255 即 172.16.1.0的反掩码为0.0.0.255
A>> 就是255.255.255.255 - subnet-mask 即 subnet-mask + wildcard-mask = 255.255.255.255 例:
1 使用一条ACL表示 172.16.0.0/24 答:
wildcard-maks = 255.255.255.255 - 255.255.255 permit 172.16.0.0 0.0.0.255 2 使用一条ACL将 下列条目都包括: 172.16.0.0/24 , 172.16.1.0/24 , 172.16.2.0/24 , 172.16.3.0/24 答: 0 0000 0000 1 0000 0001 2 0000 0010 3 0000 0011
反掩码简介、计算方法实例、常见反掩码
反掩码简介、计算⽅法实例、常见反掩码⼀、反掩码简介反掩码就是通配符掩码，通过标记0和1告诉设备应该匹配到哪位。
在反掩码中，相应位为1的地址在⽐较中忽略，为0的必须被检查。
IP地址与反掩码都是32位的数由于跟⼦⽹掩码刚好相反，所以也叫反掩码。
例如掩码是255.255.255.0 ， wildcard-mask 就是0.0.0.255 ， 255.255.255.248 ，反掩就是0.0.0.7。
路由器使⽤的通配符掩码(或反掩码)与源或⽬标地址⼀起来分辨匹配的地址范围，它跟⼦⽹掩码刚好相反。
它像⼦⽹掩码告诉路由器IP地址的哪⼀位属于⽹络位⼀样，通配符掩码告诉路由器为了判断出匹配，它需要检查IP地址中的多少位。
这个地址掩码对使我们可以只使⽤两个32位的号码来确定IP地址的范围。
这是⼗分⽅便的，因为如果没有掩码的话，你不得不对每个匹配的IP客户地址加⼊⼀个单独的访问列表语句。
这将造成很多额外的输⼊和路由器⼤量额外的处理过程。
所以地址掩码对相当有⽤。
在⼦⽹掩码中，将掩码的⼀位设成1表⽰IP地址对应的位属于⽹络地址部分。
相反，在访问列表中将通配符掩码中的⼀位设成1表⽰I P地址中对应的位既可以是1⼜可以是0。
有时，可将其称作“⽆关”位，因为路由器在判断是否匹配时并不关⼼它们。
掩码位设成0则表⽰IP地址中相对应的位必须精确匹配。
⼆、常见反掩码复制代码代码如下:CIDR ⼦⽹掩码反掩码/30 255.255.255.252 0.0.0.3/29 255.255.255.248 0.0.0.7/28 255.255.255.240 0.0.0.15/27 255.255.255.224 0.0.0.31/26 255.255.255.192 0.0.0.63/25 255.255.255.128 0.0.0.127/24 255.255.255.0 0.0.0.255/23 255.255.254.0 0.0.1.255/22 255.255.252.0 0.0.3.255/21 255.255.248.0 0.0.7.255/20 255.255.240.0 0.0.15.255/19 255.255.224.0 0.0.31.255/18 255.255.192.0 0.0.63.255/17 255.255.128.0 0.0.127.255/16 255.255.0.0 0.0.255.255/15 255.254.0.0 0.1.255.255/14 255.252.0.0 0.3.255.255/13 255.248.0.0 0.7.255.255/12 255.240.0.0 0.15.255.255/11 255.224.0.0 0.31.255.255/10 255.192.0.0 0.63.255.255/9 255.128.0.0 0.127.255.255/8 255.0.0.0 0.255.255.255三、计算⽅法实例⽤⼆进制来表⽰⼦⽹掩码值，再⽤⼴播地址求其差值，然后再算回⼗进制。
反掩码详解
反掩码详解在配置路由协议的时候（如OSPF、EIGRP ）使用的反掩码必需是连续的1即网络地址。
例： routeospf 100 network 192.168.1.0 0.0.0.255 network 192.168.2.0 0.0.0.255而在配置ACL的时候可以使用不连续的1，只需对应的位置匹配即可。
例：access-list 1 permit 198.78.46.0 0.0.11.255正掩码和反掩码的区别：正掩码必须是连续的，而反掩码可以不连续，例如：C类地址子网掩码中不可以出现255.253.255.0（二进制为11111111 11111101 11111111 00000000）这样的掩码；而反掩码可以出现0.0.0.2（二进制为00000000 00000000 00000000 00000010）。
正掩码表示的路由条目，而反掩码表示的范围。
反掩码就是通配符掩码，通过标记0和1告诉设备应该匹配到哪位。
在反掩码中,相应位为1的地址在比较中忽略,为0的必须被检查.IP地址与反掩码都是32位的数例如掩码是255.255.255.0 wildcard-mask 就是0.0.0.255255.255.255.248 反掩就是0.0.0.7通配符掩码(wildcard-mask)路由器使用的通配符掩码(或反掩码)与源或目标地址一起来分辨匹配的地址范围，它跟子网掩码刚好相反。
它像子网掩码告诉路由器IP地址的哪一位属于网络号一样，通配符掩码告诉路由器为了判断出匹配，它需要检查IP 地址中的多少位。
这个地址掩码对使我们可以只使用两个32位的号码来确定IP地址的范围。
这是十分方便的，因为如果没有掩码的话，你不得不对每个匹配的IP客户地址加入一个单独的访问列表语句。
这将造成很多额外的输入和路由器大量额外的处理过程。
所以地址掩码对相当有用。
在子网掩码中，将掩码的一位设成1表示IP地址对应的位属于网络地址部分。
acl反掩码规则
acl反掩码规则ACL反掩码规则是网络安全中常用的一种策略控制技术，用于配置和管理网络设备的访问控制列表（ACL）。
通过使用ACL反掩码规则，可以限制或允许特定的网络流量，从而提高网络的安全性和性能。
本文将介绍ACL反掩码规则的原理、应用场景和配置方法。
一、ACL反掩码规则的原理ACL反掩码规则是基于源地址、目的地址和协议类型等信息来过滤网络流量的一种策略控制技术。
在ACL中，每条规则都由一个反掩码（wildcard mask）和一个掩码（mask）组成。
反掩码用于匹配需要过滤的网络流量，而掩码用于指定允许或拒绝匹配的条件。
ACL反掩码规则的匹配过程是逐位比较的。
当一个网络流量与ACL 规则中的反掩码进行匹配时，网络设备会将流量中的源地址与反掩码进行“与”操作，得到一个结果。
然后，再将该结果与掩码进行“或”操作，得到最终的匹配结果。
如果匹配结果为真，则网络流量会被允许通过；如果匹配结果为假，则网络流量会被拒绝。
二、ACL反掩码规则的应用场景ACL反掩码规则广泛应用于网络设备的访问控制、流量控制和安全策略等方面。
下面是几个常见的应用场景：1. 限制特定IP地址的访问：通过配置ACL反掩码规则，可以限制特定IP地址的访问网络资源，从而提高网络的安全性。
2. 阻止恶意流量：ACL反掩码规则可以用于阻止恶意流量，例如DDoS攻击、端口扫描等，从而减轻网络设备的负载压力。
3. 优化网络性能：通过配置ACL反掩码规则，可以限制或允许特定类型的网络流量，从而优化网络的性能。
例如，可以禁止P2P下载或限制视频流量，以减少网络拥塞。
4. 实现访问控制：ACL反掩码规则可以用于限制特定用户或用户组的访问权限，从而实现访问控制。
例如，可以禁止某些用户访问特定的网络资源。
三、ACL反掩码规则的配置方法配置ACL反掩码规则的方法因设备和操作系统而异。
下面是一个简单的示例，演示了如何在Cisco路由器上配置ACL反掩码规则：1. 进入路由器的配置模式：```enableconfigure terminal```2. 创建一个访问控制列表（ACL）：```access-list 10 permit 192.168.1.0 0.0.0.255```3. 创建一个反掩码规则：```ip access-list extended ACL-1permit ip any 192.168.1.0 0.0.0.255```4. 应用ACL反掩码规则到接口：```interface GigabitEthernet0/0ip access-group ACL-1 in```通过以上配置，ACL反掩码规则将会过滤进入GigabitEthernet0/0接口的流量。
各种子网掩码计算和反掩码转换
子网反掩码转换讲解：255全变成0,0变成255 不是255和0的用255减去他，减去后的值就是某网段------------------各种子网掩码------------- ------------------各种子网“反”掩码-------------10.1.128.4/24，/23，/25 /255.255.255.0, /255.255.254.0，/255.255.255.128 /0.0.0.255, /0.0.1.255, /0.0.0.127/各种子网掩码计算讲解：某网段（注意默认情况下这个网段是/8，也就是255.0.0.0 ）10.1.128.4/24 255.255.255.0（现在这个是24位所以是3个“255”一个“0”）8+8+8=248个1 8个1 8个1 8个0/24，吧这个网段的子网掩码转换成二进制数=11111111.11111111.11111111.0000000---------这里有24个1------“/24”就是表达这个意思，后面全是零然后再转换成十进制数=255.255.255.0了0.08+8+7=238个1 8个1 7个1 0例如，10.1.128.4/23，的就是前面23个1 11111111.11111111.1111110.00000000 然后通过转换成十进制数=255.255.254.0-------------------------本来上面24个1减了一个1就变成了23个1所以就是“/23”。
然后后面全是08个1 8个1 8个1 1个1 （这里多了一个1！！！，就等于8+8+8+1=25啦0.0/25的，这次是25个1了0.0 11111111.11111111.11111111.10000000 转换成十进制数=255.255.255.128。
反掩码
反掩码.txt 通配符掩码表子网掩码反掩码/30 255.255.255.252 0.0.0.3/29 255.255.255.248 0.0.0.7/28 255.255.255.240 0.0.0.15/27 255.255.255.224 0.0.0.31/26 255.255.255.192 0.0.0.63/25 255.255.255.128 0.0.0.127/24 255.255.255.0 0.0.0.255/23 255.255.254.0 0.0.1.255/22 255.255.252.0 0.0.3.255/21 255.255.248.0 0.0.7.255/20 255.255.240.0 0.0.15.255/19 255.255.224.0 0.0.31.255/18 255.255.192.0 0.0.63.255/17 255.255.128.0 0.0.127.255/16 255.255.0.0 0.0.255.255/15 255.254.0.0 0.1.255.255/14 255.252.0.0 0.3.255.255/13 255.248.0.0 0.7.255.255/12 255.240.0.0 0.15.255.255/11 255.224.0.0 0.31.255.255/10 255.192.0.0 0.63.255.255/9 255.128.0.0 0.127.255.255/8 255.0.0.0 0.255.255.255十进制通配符掩码计算方法用二进制来表示子网掩码值，再用广播地址求其差值，然后再算回。
即,推出公式：通配符掩码=255-掩码.255-掩码.255-掩码.255-掩码举例：一、求子网掩码255.255.255.248通配符掩码(反掩码)(1)、把子网掩码255.255.255.248转换成为：11111111.11111111.11111111.11111000通配符掩码值为：广播全1(二进制)地址减去子网掩码二制制值，即：11111111.11111111.11111111.11111111 - 11111111.11111111.11111111.11111000得到结果为：00000000.00000000.00000000.00000111转换为十进制：0.0.0.7(2)、通配符掩码=255-掩码.255-掩码.255-掩码.255-掩码，即：255-255.255-255.255-255.255-248=0.0.0.7二、求子网掩码255.255.128.0通配符掩码(反掩码)(1)、把子网掩码255.255.128.0转换成二进制为：11111111.11111111.10000000.0000000通配符掩码值为：广播全1(二进制)地址减去子网掩码二制制值，即：11111111.11111111.11111111.11111111 - 11111111.11111111.10000000.0000000 得到结果为：00000000.00000000.01111111.11111111转换为十进制：0.0.127.255(2)、通配符掩码=255-掩码.255-掩码.255-掩码.255-掩码，即：255-255.255-255.255-128.255-0=0.0.127.255不塞不流，不止不行。
各种反掩码的计算方法
关于ACL反掩码，OSPF,EIGRP配置反掩码和区域汇总的计算总结一：关于ACL反掩码：ACL的反掩码注意 0为严格匹配 1为不用管1（01），2（10），4（100），8（1000），16（10000），32，64，128 为基数值例如：网段为：192.168.0.0 0为000192.168.1.0 1为001192.168.2.0 2为010192.168.3.0 3为011192.168.4.0 4为100这时候写访问控制列表的时候：Access 1 deny 192.168.0.0 0.0.3.0 后两位变化所以为3192.168.4.0 无法写进去再例如：192.168.128.0 128为00192.168.129.0 129为01192.168.130.0 130为10192.168.131.0 131为11写法跟上面一样反掩码都为0.0.3.0在例如：1.0 -22.0写一条表示：22大于16小于32 也就是说他不用严格匹配的为5全用1表示所以反掩码为1+2+4+8+16=31需要精确的匹配需要4条：192.168.0.0 0.0.15.0192.168.16.0 0.0.3.0192.168.20.0 0.0.1.0192.168.22.0 0.0.0.0二关于网段反掩码的写法：255.255.255.255 减去子网掩码：255.255.255.252 就得出反掩码 0.0.0.3三关于汇总的写法192.168.1.0 000192.168.2.0 001192.168.3.0 010192.168.4.0 100都是/24位的汇总为192.168.0.0/22 子网掩码为255.255.252.0192.168.4.0 就不能汇总进去1.0-25.0汇总25大于16 小于32 所以他在变化的位在：10000和100000之间所以是5位也就是说子网为/24-5=19的网段注意多汇总了网段为相同的为几就是几不同的为0反码为相同的为0 不同的为1 这个又是不是完全匹配可能会有漏掉的路由条目！反问控制列表不能匹配掩码前缀列表：199.172.4.0/22(这个意思为匹配前22位) ge 25 le 25（掩码为25位）。
反掩码详解
反掩码详解在配置路由协议得时候(如OSPF、EIGRP )使用得反掩码必需就是连续得1即网络地址。
例: route ospf 100 network 192、168、1、0 0、0、0、255 network 192、168、2、0 0、0、0、255而在配置ACL得时候可以使用不连续得1,只需对应得位置匹配即可。
例:access-list 1 permit 198、78、46、0 0、0、11、255正掩码与反掩码得区别:正掩码必须就是连续得,而反掩码可以不连续,例如:C类地址子网掩码中不可以出现255、253、255、0(二进制为11111111 11111101 11111111 00000000)这样得掩码;而反掩码可以出现0、0、0、2(二进制为00000 00000)。
正掩码表示得路由条目,而反掩码表示得范围。
反掩码就就是通配符掩码,通过标记0与1告诉设备应该匹配到哪位。
在反掩码中,相应位为1得地址在比较中忽略,为0得必须被检查、IP地址与反掩码都就是32位得数例如掩码就是255、255、255、0 wildcard-mask 就就是0、0、0、255255、255、255、248 反掩就就是0、0、0、7通配符掩码(wildcard-mask)路由器使用得通配符掩码(或反掩码)与源或目标地址一起来分辨匹配得地址范围,它跟子网掩码刚好相反。
它像子网掩码告诉路由器IP地址得哪一位属于网络号一样,通配符掩码告诉路由器为了判断出匹配,它需要检查IP地址中得多少位。
这个地址掩码对使我们可以只使用两个32位得号码来确定IP地址得范围。
这就是十分方便得,因为如果没有掩码得话,您不得不对每个匹配得IP客户地址加入一个单独得访问列表语句。
这将造成很多额外得输入与路由器大量额外得处理过程。
所以地址掩码对相当有用。
在子网掩码中,将掩码得一位设成1表示IP地址对应得位属于网络地址部分。
相反,在访问列表中将通配符掩码中得一位设成1表示I P地址中对应得位既可以就是1又可以就是0。
反掩码计算方法
反掩码计算方法
1. 嘿，你知道反掩码计算方法吗？就像在数字的海洋里找宝藏一样！比如说在网络设置中，IP 地址是，子网掩码是，那反掩码就是，神奇吧！
2. 哇塞，反掩码计算方法其实不难呀！想象一下，它就像是解开一个数字谜团的钥匙！比如给定一个网段 /8，反掩码不就是嘛，是不是一下子就清楚啦？
3. 哎呀，反掩码计算方法超有趣的啦！这就好比在搭数字积木一样！像要确定某个范围内的设备，知道了掩码，那反掩码不就迎刃而解啦，真的很简单呢！
4. 嘿呀，反掩码计算方法真的很实用呢！它就像是一把能精准找到目标的尺子！比如有个网络需要特定的范围，算出反掩码就能轻松搞定呀，多厉害！
5. 哈哈，反掩码计算方法其实很好玩呀！简直就像玩数字游戏一样！要把网络划分得合理，反掩码可少不了，这可太有意思了呀！
6. 哇哦，反掩码计算方法可别小瞧它呀！这可是如同魔法一般的存在呢！你看，给定一个复杂的网络配置，用反掩码一分析，马上就明了啦，厉害吧！
7. 嘿嘿，反掩码计算方法真的是个宝呀！就好像是数字世界里的秘密武器！不管是什么样的网络情况，一用反掩码计算，就全清楚啦，绝对好用！
总之，反掩码计算方法真的是很实用又有趣，学会了它，能让我们在网络的世界里如鱼得水呀！。
子网掩码和通配符掩码
什么是通配符掩码？一、通配符掩码(wildcard-mask)路由器使用的通配符掩码(或者称作反掩码)与源或目标地址一起来分辨匹配的地址范围，它跟子网掩码刚好相反。
它像子网掩码告诉路由器IP地址的哪一位属于网络号一样，通配符掩码告诉路由器为了判断出匹配，它需要检查IP地址中的多少位。
这个地址掩码对使我们可以只使用两个32位的号码来确定IP地址的范围。
这是十分方便的，因为如果没有掩码的话，你不得不对每个匹配的IP客户地址加入一个单独的访问列表语句。
这将造成很多额外的输入和路由器大量额外的处理过程。
所以地址掩码对相当有用。
在子网掩码中，将掩码的一位设成1表示IP地址对应的位属于网络地址部分。
相反，在访问列表中将通配符掩码中的一位设成1表示I P地址中对应的位既可以是1又可以是0。
有时，可将其称作“无关”位，因为路由器在判断是否匹配时并不关心它们。
掩码位设成0则表示IP地址中相对应的位必须精确匹配。
例如：掩码是255.255.255.0通配符掩码(或者称作反掩码)wildcard-mask 就是0.0.0.255255.255.255.248通配符掩码(或者称作反掩码)就是0.0.0.7 255-248=7IP: 192.168.1.0wildcard:0.0.0.7 表示：192.168.1.0 - 7--------------------------------------IP: 192.168.1.8wildcard:0.0.0.7 表示：192.168.1.8 - 15--------------------------------------IP: 192.168.1.8wildcard:0.0.0.63 表示：192.168.1.0 -63 255.255.255.192 255-192=63--------------------------------------IP: 192.168.1.64wildcard:0.0.0.63 表示：192.168.1.64 - 127--------------------------------------IP: 192.168.1.128wildcard:0.0.0.127 表示：192.168.1.128 - 255子网掩码(subnet mask)是每个网管必须要掌握的基础知识，只有掌握它，才能够真正理解TCP/IP协议的设置。
ACL中反掩码讲解+总结
ACL中反掩码讲解+总结总结：在反掩码中，1表⽰随机，0表⽰精确匹配；0和1，永远不交叉；0永远在左边，1永远在右边；在路由协议的配置中，通过network命令进⾏⽹段宣告时，会使⽤在掩码中，1表⽰精确匹配，0表⽰随机；1和0，永远不交叉；1永远在左边，0永远在右边；在配置IP地址以及路由的时候，会使⽤掩码；在通配符中，1表⽰随机，0表⽰精确匹配；0和1的位置，没有任何的固定限制；可以连续，可以交叉；在ACL中，使⽤的通配符；例：答案解析写成⼆进制0000 1010 . 0000 0001 . 0000 0001 .0000 00000000 0000 . 0000 0000 . 1111 1110 . 1111 1111根据 0 就严格匹配，1 就任意，可得到结果（注意：这⾥X代表任意填充）10.1.xxxx xxx1.xxxx xxxx10.1.1.1 换成⼆进制（10.1.0000 0001.0000 0001）标记红⾊的0都可以变为110.1.3.1 换成⼆进制（10.1.0000 0011.0000 0001）标记红⾊的0都可以变为1所以选AC若还不明⽩把【通配符掩码】转为⼆进制对⽐如下：根据 0 就严格匹配，1 就任意把0.0.254.255转为⼆进制为00000000.00000000.11111110.11111111表⽰前16位检查+第24位检查，其他位不检查都是匹配的。
把【原地址】转为⼆进制对⽐如下：把10.1.1.0 转为⼆进制为00001010.00000001.00000001.00000000把【选择题中的地址】转为⼆进制对⽐如下：把10.1.1.1转为⼆进制为00001010.00000001.00000001.00000001把10.1.2.1转为⼆进制为00001010.00000001.00000010.00000001 第24位必须为1把10.1.3.1转为⼆进制为00001010.00000001.00000011.00000001把10.1.4.1转为⼆进制为00001010.00000001.00000100.00000001 第24位必须为1总结：以10.1.1.0为标准，只要是⼆进制的前16位+第24位相同，即为匹配；因为在反掩码中，相应位为1的地址在⽐较中忽略，为0的必须被检查。
子网掩码反码计算
子网掩码255.255.255.0/24 255.255.255.248/29子网划分例如，IP地址范围为202.167.210.0~202.167.210.255，子网掩码为255.255.255.0，202.167.210.0成为网络地址，而202.167.210.255是广播地址，所以这两者皆不能使用，实际上只能使用202.167.210.1~202.167.210.254的254个IP地址。
子网掩码主要的目的是由IP地址通过计算获得网络地址，也可以说IP地址的二进制形式和子网掩码的二进制形式做AND运算而得到网络地址。
子网掩码采用一个32位二进制的位模式，若位模式中的某一位置为1，则对应IP地址中的某位为网络中的一位，若位模式中的某一位置为0，则对应IP地址中的某位为主机标识中的一位。
如果采用子网技术，修改子网掩码就可以将一个C类IP地址划分为多个子网。
192.168.0.1-192.168.0.254默认使用的子网掩码为255.255.255.0，其中的0在2进制中表示，8个0.因此有8个位置没有被网络号码给占用，2的8次方就是表示有256个地址，去掉一个头(网络地址)和一个尾(主机地址)，表示有254个电脑主机地址，因此我们想要对这254来划分的话，就是占用最后8个0中的某几位。
假如占用第一个0.那么2进制表示的子网掩码为11111111.11111111.11111111.10000000.转换为10进制就为255.255.255.128，那么这时电脑主机应该为多少?其实很简单，就是2的7次方了(不再是原来的2的8次方了)，2的7次方=128，因此假如子网掩码为255.255.255.128的话，这个C类地址可以被区分为2个网络，每个网络中最多有128台主机。
192.168.0.1-192.168.0.127为一个，192.168.0.128-192.168.0.255为第二个。
通配符掩码
通配符掩码*通配符掩码定长掩码网络通配符掩码(wildcard-mask)路由器使用的通配符掩码(或反掩码)与源或目标地址一起来分辨匹配的地址范围，它跟子网掩码刚好相反。
它不像子网掩码告诉路由器IP地址的哪一位属于网络号一样，通配符掩码告诉路由器为了判断出匹配，它需要检查IP地址中的多少位。
这个地址掩码可以只使用两个32位的号码来确定IP地址的范围。
这是十分方便的，因为如果没有掩码的话，不得不对每个匹配的IP客户地址加入一个单独的访问列表语句。
这将造成很多额外的输入和路由器大量额外的处理过程。
所以地址掩码相当有用。
*掩码的一位的设置在子网掩码中，将掩码的一位设成1表示IP地址对应的位属于网络地址部分。
相反，在访问列表中将通配符掩码中的一位设成1表示I P地址中对应的位既可以是1又可以是0。
有时，可将其称作“无关”位，因为路由器在判断是否匹配时并不关心它们。
掩码位设成0则表示IP地址中相对应的位必须精确匹配。
*通配符与子网掩码的区别通配符掩码中，0表示要检查的位，1表示不需要检查的位。
而在IP子网掩码中，数字1、0用来决定网络、子网，还是相应的主机的IP 地址。
例如：172.16.0.0/16这个网段，使用的子网掩码为：255.255.0.0 通配符掩码中，可以用255.255.255.255表示所有IP地址，因为全为1说明32位中所有位都不需检查，此时可用any替代。
而0.0.0.0的通配符则表示所有32位都必须要进行匹配，它只表示一个IP地址，可以用host表示。
*通配符掩码表CIDR 子网掩码反掩码/30 255.255.255.252 0.0.0.3/29 255.255.255.248 0.0.0.7/28 255.255.255.240 0.0.0.15/27 255.255.255.224 0.0.0.31/26 255.255.255.192 0.0.0.63/25 255.255.255.128 0.0.0.127/24 255.255.255.0 0.0.0.255/23 255.255.254.0 0.0.1.255/22 255.255.252.0 0.0.3.255/21 255.255.248.0 0.0.7.255/20 255.255.240.0 0.0.15.255/19 255.255.224.0 0.0.31.255/18 255.255.192.0 0.0.63.255/17 255.255.128.0 0.0.127.255/16 255.255.0.0 0.0.255.255/15 255.254.0.0 0.1.255.255/14 255.252.0.0 0.3.255.255/13 255.248.0.0 0.7.255.255/12 255.240.0.0 0.15.255.255/11 255.224.0.0 0.31.255.255/10 255.192.0.0 0.63.255.255/9 255.128.0.0 0.127.255.255/8 255.0.0.0 0.255.255.255*十进制通配符掩码计算方法用二进制来表示子网掩码值，再用广播地址求其差值，然后再算回十进制。
子网掩码和通配符掩码
什么是通配符掩码？一、通配符掩码(wildcard-mask)路由器使用的通配符掩码(或者称作反掩码)与源或目标地址一起来分辨匹配的地址范围，它跟子网掩码刚好相反。
它像子网掩码告诉路由器IP地址的哪一位属于网络号一样，通配符掩码告诉路由器为了判断出匹配，它需要检查IP地址中的多少位。
这个地址掩码对使我们可以只使用两个32位的号码来确定IP地址的范围。
这是十分方便的，因为如果没有掩码的话，你不得不对每个匹配的IP客户地址加入一个单独的访问列表语句。
这将造成很多额外的输入和路由器大量额外的处理过程。
所以地址掩码对相当有用。
在子网掩码中，将掩码的一位设成1表示IP地址对应的位属于网络地址部分。
相反，在访问列表中将通配符掩码中的一位设成1表示I P地址中对应的位既可以是1又可以是0。
有时，可将其称作“无关”位，因为路由器在判断是否匹配时并不关心它们。
掩码位设成0则表示IP地址中相对应的位必须精确匹配。
例如：掩码是255.255.255.0通配符掩码(或者称作反掩码)wildcard-mask 就是0.0.0.255255.255.255.248通配符掩码(或者称作反掩码)就是0.0.0.7 255-248=7IP: 192.168.1.0wildcard:0.0.0.7 表示：192.168.1.0 - 7--------------------------------------IP: 192.168.1.8wildcard:0.0.0.7 表示：192.168.1.8 - 15--------------------------------------IP: 192.168.1.8wildcard:0.0.0.63 表示：192.168.1.0 -63 255.255.255.192 255-192=63--------------------------------------IP: 192.168.1.64wildcard:0.0.0.63 表示：192.168.1.64 - 127--------------------------------------IP: 192.168.1.128wildcard:0.0.0.127 表示：192.168.1.128 - 255子网掩码(subnet mask)是每个网管必须要掌握的基础知识，只有掌握它，才能够真正理解TCP/IP协议的设置。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
反掩码详解————————————————————————————————作者: ————————————————————————————————日期:ﻩ反掩码详解在配置路由协议的时候(如ＯSＰＦ、EIGＲP ）使用的反掩码必需是连续的１即网络地址。
例：ｒoute osｐf 100 ｎeｔｗork 19２.16８．1．０0.０．０.255 ｎeｔwork 192.１68.２.０0.0.0．2５5 而在配置ACL的时候可以使用不连续的1，只需对应的位置匹配即可。
例:acｃｅｓs-lｉst 1 peｒmit 1９８.78.46.0 0.0.11.2５5ﻫ正掩码和反掩码的区别:正掩码必须是连续的，而反掩码可以不连续，例如:Ｃ类地址子网掩码中不可以出现２55.253.255．0（二进制为1111111１111111０１1111１１11 00００000０）这样的掩码;而反掩码可以出现0.０.0.２（二进制为00000 00０00）。
正掩码表示的路由条目,而反掩码表示的范围。
反掩码就是通配符掩码,通过标记0和1告诉设备应该匹配到哪位。
在反掩码中，相应位为1的地址在比较中忽略，为0的必须被检查.IP地址与反掩码都是32位的数例如掩码是255.255.25５.0 wilｄcarｄ-ｍaｓk 就是0.0.0.2５5255.2５5.255.２48 反掩就是０.0.0.7通配符掩码(wiｌｄcarｄ-mask)ﻫ路由器使用的通配符掩码(或反掩码)与源或目标地址一起来分辨匹配的地址范围,它跟子网掩码刚好相反。
它像子网掩码告诉路由器IP地址的哪一位属于网络号一样，通配符掩码告诉路由器为了判断出匹配，它需要检查IP地址中的多少位。
这个地址掩码对使我们可以只使用两个3２位的号码来确定IP地址的范围。
这是十分方便的，因为如果没有掩码的话，你不得不对每个匹配的IP客户地址加入一个单独的访问列表语句。
这将造成很多额外的输入和路由器大量额外的处理过程。
所以地址掩码对相当有用。
ﻫ在子网掩码中,将掩码的一位设成1表示IP地址对应的位属于网络地址部分。
相反，在访问列表中将通配符掩码中的一位设成１表示I Ｐ地址中对应的位既可以是1又可以是0。
有时,可将其称作“无关”位，因为路由器在判断是否匹配时并不关心它们。
掩码位设成0则表示IP地址中相对应的位必须精确匹配。
ﻫﻫﻫ通配符掩码表CIDＲ子网掩码反掩码25 30/ ﻫ５．２55.25５.252 0．0．0.3255.2 29/ ﻫ５5．255.248 ０.0．0.7255.２５５.2５5.224 0．0．0.３1ﻫ/26 255.25５.255.27/28 2５5．25５．25５．240 0.0.0．15ﻫ/１9２0.0．０.63ﻫ／２5 ２55.255.255.128 ０．０.0.1272５5.２5５．254．0 0．0.1．25523／２4 2５5.2５5.2５5.００.0.0.255ﻫ//2２255．255.252．００.0.3.２55/21 2５５．２55.248.0 ０．0.７．２5518２55.2５5.1９/／２０255.25５.240.0 ０.０.15．255ﻫ/19 255.2５５.2２4.０0.０.31.255ﻫ2．００.0.63.255／１7 255.255.128.0 0.０.127.255ﻫ／１６25５．255.0.０0.０.25５.2５5ﻫ/1５255.２5４.０．0 ０.1.255.25５ﻫ/14 255．２52.0.0 0.3.25５.255/13 25５.248．0．0 0.7.２５５.255ﻫ/1２25５.240.0.０0.１５.２５5.2５５ﻫ/11 255.２24.0.0/9255.128．0．0 ０.１27．25５.２55 0.31．255．255ﻫ／１0 25５.192．0．０0．６3.255.255ﻫ／8 25５.0.0.0 0.255.255.255ﻫﻫ十进制通配符掩码计算方法用二进制来表示子网掩码值，再用广播地址求其差值,然后再算回十进制。
ﻫ即，推出公式:通配符掩码=2５５-掩码.２5５－掩码．２５5－掩码．255-掩码ﻫ举例一ﻫ求子网掩码２55.25５.255.2４8通配符掩码(反掩码)ﻫ（1）、把子网掩码255．255．255.248转换成二进制为: ﻫ１１111111.1１111111.11１11１11．111１1００0通配符掩码值为：广播全1(二进制）地址减去子网掩码二制制值，即：ﻫ111１1１11．111１11１1．１１11111１．1111111１－11１111１１．１1１11111．11111１1１.1111100０得到结果为:00000000.0０0０000０.000０00０0.０000011１ﻫ转换为十进制: ﻫ０.0.0.7ﻫﻫ(2）、通配符掩码=255-掩码.２５5-掩码.255－掩码．25５－掩码,即：ﻫ２5５－２５5.2５5-255.255-255.25５-２48=0.0.０.7ﻫﻫ举例二求子网掩码255.２55.1２８.0通配符掩码(反掩码)ﻫ（１)、把子网掩码255．25５.1２8.０转换成二进制为:11１1１１1１.1111１11１.1000０0００.０0000０0ﻫ通配符掩码值为:广播全1(二进制)地址减去子网掩码二制制值，即: ﻫ１1１11111．１1111111.1１111１１1．１11111１1 - 1１1１1111．11１11１11.10000000．０0０0000得到结果为:000０0０００.0000000０.0１1111１1.1111１111ﻫ转换为十进制：0.0.１２7.２55ﻫ(２)、通配符掩码=255-掩码.255-掩码.２55-掩码．255-掩码,即: ﻫ25５－255.２55-255.2５5-12８.255-０=0．０．１27.２55ﻫConfiguring IP AcｃesｓListIP访问控制列表(aｃcｅｓｓcｏntｒｏｌlisｔ，ＡCL)用于过滤IＰ流量，其中RFC 170０定义了知名(well-ｋno ｗn)端口号,RFC 19１8定义了私有IP地址空间ﻫﻫＰｔ.2 Uｎdersｔandｉng ＡCL ConｃeptｓﻫﻫUsiｎg Mask ｓﻫﻫACL里的掩码也叫iｎverse mask(反掩码）或ｗildcaｒｄmaｓk(通配符掩码）,由32位长的2进制数字组成,4个八位位组.其中0代表必须精确匹配，1代表任意匹配（即不关心）反掩码可以通过使用２55．25５.25５．2５５减去正常的子网掩码得到,比如要决定子网掩码为2５5.２55．２５5.0的IP地址17２.1６．1.0的反掩码:ﻫ2５5.２55.255.255-255．255.255.0=0.0.0．２5５即１72．16．１.０的反掩码为0.０．０.255ﻫ注意:反掩码为255.255.255.25５的０.0.0．０代表ａｎy,即任意地址反掩码为０．0.0.0的10.1.１．2代表主机地址10．1.１.2ﻫSummarizing AＣＬsﻫﻫ下面描述的是如何汇总(summarｉzaｔｉoｎ)一组网络地址,来达到优化ＡCＬ的目的:ﻫ192.168．３2．0／2４19２．１68．３5.０/241９２．1６8.33．0/24ﻫ192.１６８.34．0/2４ﻫ19２.168.３6.0/２4192．1６8.38．0/2419２.16８.３7.0/２４ﻫ１92.168.39.0/２4ﻫ这组IP地址的前２个和最后1个八位位组是一样的,再看第3个八位位组，把它们写成２进制的形式：36:０0 10 ０1 ０034:00１0 0０1０ﻫ３5:0０1０00 11ﻫ３2:0０10 ０0 00ﻫ３3:０0 10 ０0 01ﻫ37：00 １0 ０1 0138：０0 10 01 10ﻫ３９:00 １０01 1１ﻫﻫ注意这组范围里的前5位都是一样的,所以这组IP地址范围可以汇总为192.168．３2．0／21 255.２5５.248.0，那么这组ＩP地址范围的反掩码为255.255.2５5.25５－2５5.２55．248.０＝0.0.７．255ﻫ比如在做IＰstanｄard ACL的时候,就可以:aｃcess－lｉｓt １0 peｒｍit １92．１６8.32．0 0.0.７.２55ﻫﻫ再来看另一组IP地范围:19２.1６8.14８．０／２4ﻫ１92.168.1４9.0/２4192.168.１46．０／２４ﻫ19２．１6８．1４7.0／24ﻫ照之前的方法,把第3个八位位组写成2进制形式:147：10 ０1 ００111４6:１0 0１00 １0ﻫ1４8:1０0１０1 ０0149：10 01 01 ０１ﻫ是不是可以写成１９2.1６8.1４6．0/21呢?不是.因为采用/２1的话将有8个子网将被考虑进去,如果在用ACＬ拒绝上述1组地址的时候,就有可能把另外４个地址给封杀掉.一定要考虑到精确匹配,上述地址就只能汇总成下面这２条地址:ﻫﻫ对于192.１６８.1４6.x－192.16８．１47.x为:1９２.168.146.0/23(192.１68.146.0 255.2５５.25４．0)对于1９2．1６8.１４６．8－1９2.168.149．x为：192.1６8.14８.0/23(192．１68．１48.0 255.２5５.2５４.０)ﻫ所以反掩码分别为:0.0.1.255和0．0．1.２５5比如在做ＩP ｓtａｎｄarｄＡＣＬ的时候,就可以:ﻫﻫacceｓs−liｓt 1０permiｔ１92．１６8.146.0 0.0.1.２５5 aｃcess−liｓt 1０ｐeｒmit 1９2.1６8.148.０0.０.1．２５5Prｏceｓsing ＡＣLsﻫ当流量经过了配置的有ACL的路由器的时候，将和ACL里的条目从上往下的进行比较,直到找到匹配的语句为止,如果没有任何匹配的语句,流量将被拒绝（deny)掉．一般在设置ACL的时候,尽可能的把ｐeｒmｉt语句放在AＣＬ的最上部．并且要记住的是,ACL在结尾处默认隐含的有1条拒绝所有流量的dｅnｙ语句,如下2个ACL,ＡCL 101和ACL 1０２是有相同的效果的:ﻫaccｅss-lｉst 101 peｒmit ip 10．1．1.0 0．0.0.255 172.16．1．0 0．0.０.255ﻫﻫaccess-ｌiｓｔ１02 ｐermit ip 1０.１.1.0 0．0.0.25５172.１6.1.0 ０.0．0.255ａccess－list 10２ｄeny ｉp anｙanyﻫACL例子如下:aｃｃｅss-lｉｓｔ101 ｐermit tcｐhoｓt 10.1.1.2 hosｔ１72.16.1.１eq telnetﻫａｃcｅss-list 101 permiｔtcp hｏst １0.1.１.２host 1７２.1６.1．1ﻫａcｃesｓ-list 1０1 peｒｍｉt uｄｐhosｔ10．1.1．2 host １72.1６.1.1ﻫaｃcesｓ-list １01 permｉt ip １0.1.1．0 0.０．0.255 172.16.1.０0.０.0.２55ﻫ最后1条语句就足够了,前3条语句可以不用配置．因为TＣＰ就包括了telnet,并且IP包括了TCＰ和UDP．所以只需要写最后1条语句即可ﻫＤｅｆiniｎg Ｐｏrts and MｅssａgｅTｙpesﻫ在设置ACL的时候，可能不光要设置源地址和目标地址,还要设置端口号（参阅RFC 1700)或ICMP信息类型(参阅ＲFC 792）.当然可以在设置的时候输入?来查看提示，如下:ﻫaccess-list 10２peｒｍｉｔｔcp hｏst １0.1.1.1 host １７2.16.1.1 eq ?ﻫｂｇp BoｒdeｒGａteway Pｒotｏcoｌ(1７９)ﻫchargen Chaｒacｔer gｅneｒaｔor (19)ﻫcmd Rｅmote commands (rｃｍd，５14)ﻫ在配置的时候,路由器同样可以把数字转化为人性化的值,比如在设置下面的ICMP类型14的时候:ﻫaｃceｓs-list １0２peｒmit iｃmｐhｏst 10.１.1.1 ｈost 172.１6.1.1 14ﻫ就成了:ﻫaccｅss-lｉｓｔ１０2 perｍit icｍp host １０.１.1.１hoｓt 172.16.１.1 tｉmesｔamp-ｒｅｐlyﻫﻫＡppｌyｉng ACＬs当你配置了ACL的时候,不在路由器上应用它,是将不会生效的.如下图:ﻫﻫ当你要阻断从source到dｅｓtinatiｏｎ的流量的时候,尽可能的把ACＬ设置在离源地址近的地方,即在路由器A 上的E０接口(inbound）ﻫＤｅfininｇｉn and ｏutﻫﻫｉn和ouｔ是相对于路由器来说的.离开路由器接口的流量即为out;进入这个路由器的接口的流量即为ｉｎ．在配置AＣＬ的时候,iｎ和ｏｕt并不是绝对的.比如上面那个例子,在路由器A上设置ACL，方向就要用in，因为站在路由器A的角度上看,流量是进入路由器A的.但是同样可以把ＡＣL设置在路由器C上的E1接口,方向为ｏut，因为流量是离开路由器CﻫEｄiting ＡCLsﻫ在对ACＬ进行编辑的时候要特别的注意．如果你删除了ACL中某条语句,那么整个ＡCＬ也随之被删除掉了.如下：ﻫｒouｔeｒ#conｆiｇtrｏuｔｅr(cｏnfig）#ａccｅss－liｓt 101 deny iｃmp anｙanyｒouter(conｆｉｇ)#access－list 101 perｍiｔip ａny aｎyrouter（confiｇ)#^Zrouter#ｓhoｗacｃesｓ－ｌiｓtﻫExteｎded ＩP access liｓt 101ﻫdeny icmp anｙａｎyｐeｒmit iｐany ａnｙﻫroｕter＃ﻫ*Ｍar 9 ０0:43:1２.784: %SYS-5-CONFＩG_I:ﻫCｏnｆigured fｒｏm consoｌｅbｙｃoｎsoleroｕter#config trｏutｅr（conｆiｇ）#no acceｓs－ｌist 101 ｄeｎy iｃmp ａny anyﻫroｕｔｅr(conｆig)#＾Zﻫroutｅr#sｈoｗａccess-lｉstｒouteｒ#*Mar ９00:43：2９.８3２:ﻫ%SＹS-5-CONＦＩG＿Ｉ: Coｎｆiｇurｅd fｒｏm consｏｌｅｂy consoleﻫ所以如果你要修改ACL的语句的时候,可以把路由器的配置拷贝到TFTP服务器上，用文本编辑器比如nｏｔepａd.eｘe进行编辑后,在拷贝回路由器上ﻫ当然也可以用命名访问列表的方式进行修改（稍后讲解)，如下:ﻫﻫｒouter#cｏnfig tﻫroｕter(cｏｎｆｉｇ)#ip a ｃｃeｓｓ-ｌist exteｎｄed teｓtrouter（cｏnｆｉg-exｔ-ｎacl）#perｍit ｉp hｏｓt 2.2.2．2 ｈost 3.3.3.3router(ｃｏｎfｉg-ext－ｎacl)#pｅｒmｉt ｔcｐhost 1.1.1.1 hｏｓt 5.5.５.５eq (conｆig-ｅxｔ-naｃl)#permit icｍp any anyﻫroｕteｒ(ｃonfig-ｅxt-nａｃｌ)#permit udｐhost 6.6.6．6 10.１0.1０．0 0.0.0.255 eｑdomainﻫ验证下ACL的设置,如下:ｒouter#show acｃess-lisｔExtenｄed ＩＰaｃcesｓlｉst testpermｉｔip host ２.2.2.2 hoｓｔ3.3.3.3ﻫｐermit ｔcp hｏｓt 1．1.１.1 ｈoｓt 5．５.5．５eq icmｐaｎy any peｒmiｔｕｄp hosｔ6.6.6.6 10.10.１0．0 ０．0．０．２55 ｅq domａｉnﻫ设置好ＡＣL,进行删除和增加语句,如下:ﻫｒoｕter(ｃｏnfig)＃ip ａccess-lisｔeｘtｅnded tｅstroｕter(config-ｅxt-nacl)#ｎo permｉt ｉcｍｐaｎy ａny /------－-－－-----删除１条语句－----－－--/ router（confiｇ－eｘt-ｎacl)＃ｐeｒmｉt grｅhoｓt 4.4．4.４ｈoｓt 8．8.8.8 /－－---－-----－-－－增加１条语句--－-－-－－－/ﻫ修改后进行验证,如下：ﻫrｏuter＃ｓhoｗaｃcess-listﻫExｔeｎded IP access lisｔｔeｓtﻫpeｒｍit ip host 2.2.2.2 hosｔ3．３.3．3ﻫperm ｉt ｔcp hｏｓt 1．1.1.1 hｏst ５.５.5.5 eq ｕdｐhost 6.6．6．6 １０.10．10．0 ０.０．０．255 ｅq doｍain ｐｅrmit gｒe hｏｓt 4.4.4.4 hｏsｔ8.8.８.8ﻫ可以看到新增的语句位于ACL的结尾ﻫﻫ当要删除整个ACL的时候,使用如下命令：inｔerfaｃe <intｅｒfacｅ>no ip access－grｏup ＜acl number> iｎ|outﻫTroublｅｓhooｔiｎgﻫ当要对流量进行debｕｇ的时候,首先要确认,当前设置的有AＣＬ,但是没有应用它，并且路由器的fasｔ-swiｔching要关闭,步骤如下:ﻫﻫ 1.使用access-ｌist命令捕捉需要监测的数据,比如：aｃceｓs-list 101 permiｔiｐaｎｙhost 10．2.6.６ａcｃess-lisｔ101 pｅrmiｔip host 10．2．６.６anyﻫ 2.在卷入debｕg过程中的接口的faｓt-switｃhiｎg功能要关闭，如果不关闭的话，将只看的到第一个经过该接口的包．在接口配置模式下使用如下命令:ﻫno ip roｕte-ｃacheﻫﻫ 3.在特权模式下使用teｒｍiｎal mｏnｉｔor命令,这样deｂｕg输出的信息将被显示４.使用dｅbug ｉp ｐａｃket １01 [deｔail]命令开始ｄebugﻫ５.ｄebug完成以后,在特权模式下使用no deｂug ａll命令关闭debug.并且进入接口配置模式使用iｐroute－ｃａchｅ命令打开ｆaｓt－switching功能ﻫPｔ.3 Tｙｐｅs of IＰACLsﻫﻫStaｎdard ACLsﻫﻫ标准AＣL是比较古老的ACL，可以追溯到Ciｓco IOＳRelease 8．3.标准ＡCL(以ＩP访问列表为例)通过比较ＩP包的源地址和AＣL中设置的地址来做转发或者丢弃的决定.语法如下：ﻫﻫａcceｓs-list ＜access-list-nｕmber＞{perｍit|deny} {hosｔ|souｒcｅwｉldcaｒd－mask | any}ﻫ在一般的IOＳ版本中,ａccesｓ-ｌiｓｔ-numbeｒ的范围是1到99.在Cｉsco IOS Rｅlease 12．0.1中，还可以使用额外的一段１300到１９9９ﻫ当定义了标准ＡCL以后，进入接口配置模式使用如下命令进行应用:ip access-group <aｃcess－ｌiｓt-nｕmｂer> {in｜out｝ﻫExtendｅd ACLｓﻫ扩展ＡCL是在CisｃｏIＯS Rｅｌease 8.3中引入的．顾名思义,它和之前那种古老的比较方式,增加了许多额外的比较.命令如下:ﻫﻫ对于IP：ﻫａｃcesｓ－ｌist <accｅss-lｉst－nｕmｂｅr＞［ｄynamic dｙnamic-nａｍe ［tｉｍeｏut ｍinｕｔｅｓ]] {d ｅny ｜permiｔ} protocｏｌsoｕrcｅwilｄcard－mask ｄesｔｉｎaｔiｏｎwｉｌｄｃard-maｓk [pｒeｃedeｎce preｃｅdeｎce] [tos ｔos] ［log | loｇ-ｉnｐｕt］［time-ｒange ｔｉme-rangｅ-nａmｅ]ﻫ对于ICＭＰ:ﻫﻫacｃess-list <aｃceｓｓ－lｉsｔ-nuｍber> [dyｎａmic dｙnaｍｉc-nａｍe [ｔｉmeout mｉnuｔeｓ]] {ｄｅｎy | ｐermit} icmp sourｃｅwildcaｒd-mask destinaｔion wｉldcａrｄ-ｍasｋ[ｉcmp－ｔype | ［［ｉcmp-type icmp-coｄe] ｜[icｍp-messagｅ]］[precｅdｅncｅｐreceｄence] [toｓtoｓ] [lｏg | log-ｉnpｕt] [timｅ-ｒange time－range-name] ﻫ对于UDＰ:acｃess-list <acｃeｓs-liｓt-nuｍber＞[dynａmic ｄynａｍic-name ［ｔiｍeout mｉnｕteｓ］] {deny | perm ｉｔ} udp soｕｒｃe wildcard-mask [operatｏr [pｏｒt]] dｅsｔiｎａtioｎwilｄcard-ｍａsk ［ｏperator [pｏrt]] [ｐrecedeｎｃe ｐrｅcｅdence] ［toｓtos] [log | loｇ-ｉnｐuｔ] ［time-rａnge time-range－naｍe]对于TCP:aｃｃｅss－list <access-list-nｕmｂeｒ> [dｙnamｉc dyｎamic－naｍe [timeout miｎｕteｓ]] {deny | peｒｍit} ｔcｐｓｏurｃe wilｄcard-maｓｋ[oｐｅrａｔor [poｒt]] destiｎatｉon wiｌdcaｒd-mａsk ［operator [ｐo ｒt]] [precedence pｒecedence］[tos tos] ［ｌog ｜log-inｐuｔ] [time－range time-range-nａｍe]ﻫﻫ在一般的IOS版本里，access-liｓt-numｂeｒ可以为1０1到1９9．在CｉｓcｏIＯS Release 12．0.1以后,还可以额外的使用2000到2699再接下来就要将定义好的ＡCL应用在接口上,命令如下(接口配置模式下):ip ａcｃｅss-ｇrｏup ｛ａcl－nｕmｂer | ａcl－name} {in|ｏuｔ｝ﻫLｏｃk and Kｅy (Dyｎａmic ＡCLｓ)ﻫLock and Ｋeｙ（也叫动态ACL)是在Cisco ＩＯＳRｅlease １1．1引入的.这个特性是依靠于tｅｌneｔ,验证(au ｔhｅnｔｉcation,本地和远程)还有扩展AＣL的Lock and Ｋｅy的配置是在应用ACL的时候进行设置的,当验证通过以后,才允许tｅlnｅt,语法如下:ﻫuｓername <us ｅrnaｍe> ｐassworｄ<passworｄ＞intｅrfaｃe ＜intｅrfａｃe>ﻫip access-groｕp ｛numbｅr|nａme} ｛iｎ｜ouｔ}ﻫ验证之后将动态的往现有ＡＣL里增加1条语句,语法如下:ﻫﻫaccｅsｓ-lisｔ<access-liｓt-ｎｕmbｅr> dｙｎaｍic <nａmｅ> {perｍiｔ｜denｙ｝[protocoｌ］{souｒce wildcard－masｋ|ａny} {destｉnatioｎｗildcard-mask|ａｎｙ} ［precedenｃe preｃeｄeｎce] [tos tos］[estabｌiｓhed] [lｏg|loｇ-inｐut] [operａtor ｄestiｎation－port|destiｎatioｎpｏrt]ﻫ接下来：ﻫｌine ｖtｙ<ｌine_rａｎge＞ﻫlogin lｏｃａlﻫ如下就是一个Ｌock aｎd Key的配置例子:ﻫｕsｅrname test ｐaｓswoｒｄ０tesｔﻫusernamｅtest aｕtocommand accｅsｓ-enablｅhosｔｔiｍeo ｕｔ10 /----－定义空闲超时时间为1０分钟-－-/iｎtｅrfａｃe Etｈernet0/0ip ａddress １0．1.１.1 2５５．25５.25５.0ｉｐacceｓs-gｒoup １０１inaccｅss-lisｔ1０1 perｍiｔtcp aｎy ｈost 1０.1.1．１ｅq telnｅtａccess-lｉst 101 dynａmic ｔeｓｔlｉsｔｔimeout 15 peｒmit iｐ1０.１.１.0 0.0.０．２5５17２．16.1．0 0.０.0.255ﻫｌine vty 0 4loｇin localﻫ当10.1.1.２要telnet到１０．１.1.１的时候,动态ACL将被应用.当teｌｎeｔ连接断开以后,用户就可以访问172.１6.１．x网络ﻫIP Named ACLｓﻫﻫ命名ＡCL是在Cisｃo IOS Ｒeleaｓe 11.2引入的,它允许用命名的方式取代数字,IP命名ACL语法如下：ﻫip acｃeｓs－ｌｉｓt {extenｄed|stａndaｒd} <nａｍe>如下是一个使用命名ACＬ来阻断除teｌnet以外1０.1.1.2到１72.１6.１.１的流量的例子iｎterfacｅEｔｈerneｔ0/0ﻫip addｒess 10.1.1．1 2５５.255．２55.0ｉp accｅss－grouｐｉｎ_ｔo＿ｏｕｔinﻫip ａｃｃess-lｉsｔextended ｉn_to＿outﻫpermit tcp ｈｏst 1０．1.1.2 host 1７２.１６.1.1 eｑteｌnet:ﻫRｅflexive ACLｓﻫﻫ反身AＣL是在Cisｃo IOS Reｌeａse 1１.3引入的.它只能和扩展的命名IP ACL一起定义而不能和基于数字的或标准ＡCL，以及其他协议的ACL一起.语法如下:ﻫｉp ａccess-ｌｉst ｅxtended <ｎame> ｐermｉt <proｔｏｃol> anｙany rｅflect naｍe [tiｍeout ＜sｅcｏnｄｓ>]ﻫip acceｓs-liｓt eｘtｅndeｄ＜name> evaluate <ｎame＞inteｒface <inｔerface＞ﻫｉp aｃcess-group {number|name｝{iｎ｜ouｔ}ﻫ下面引用一个例子(原作者：ａliｅnguo 出处:雨声论坛好，现在进行测试，在10.1.１.2上pｉng 192.１.1.2，通了，ＲouｔerB上则ｐing不通1０.1.1.2.ﻫ现在还余下一个问题：路由器既然已经deny了外网进来的所有流量，那么它是怎么允许内网出去的返回流量进来呢?ﻫ它是通过创建动态生成的ＡＣL来允许返回流量的,下面看看show access-list的结果:……ﻫReflexｉve IP acｃeｓs liｓｔicｍp＿trａfｆicﻫｐｅrmit icmp hoｓｔ1９2.１.1.2 hosｔ10.1．1．2 (24 mａｔｃhｅs) （time ｌｅfｔ196）……ﻫﻫ这些动态ACL可通过ＴＣP的FＩＮ/RSＴ包来动态自动消除,对ＩCMP这样statelｅss的包来说，是通过内置的tｉmｅr来消除的，这点可通过上述show accesｓ－lｉst结果中的(time left 196）来核实．ﻫ最后再说说那另一个测试,也就是两个AＣＬ中加的多余的东西：ﻫｉp access－lｉｓt extｅｎded ｏutｂｏund_ｆilterｐeｒmit ｉp any aｎyﻫﻫip access－lｉst extｅｎded inbｏund_fｉlｔｅrﻫdenｙip ａny aｎy logﻫ我在10.1.１.2上发起一个到１92.1.1.2的TELNEＴ连接,这个流量到了S０口后由ＡCＬoutｂouｎd＿filter中的permit ip any ａny检测后放行.到了RoｕteｒB后,RoutｅrＢ进行处理然后返回流量,这个流量到了S0口后由inb ｏｕnd_filter检测,因为evaluatｅicmｐ＿tｒaｆfｉc中并没有包含对TCＰ类型流量的检测,这个包由ｄenｙiｐany any ｌog一句处理后丢弃并生成日志：00:24:2８：%SEＣ-6-IPACＣＥＳSLOGP: ｌiｓt inbound_ｆilter deｎｉｅd tcp 19２.1.1．２(2３) -> 1０.1．1.2（1483)，1 pacｋeｔTiｍe-Bａｓed ACLs Uｓiｎg Time Rａnges基于时间的ＡCL是在Ciｓco IOＳ12.０.1T中引入的,顾名思义,它对流量的控制可以是基于时间的.命令如下:ﻫﻫ1.定义time range(时间范围):ﻫtimｅ-ｒanｇe <tｉme－range-nａme＞ﻫ2．定义时间周期：ﻫperｉodiｃ［dayｓ-oｆ-ｔhe-week］hh:ｍm to [dａｙｓ-oｆ-ｔhe-weeｋ] ｈh:mm或,定义绝对时间：ﻫabsｏlute [starｔtimｅdate] ［ｅnd tiｍｅdaｔe]ﻫ3.把time rａnge使用在ACL中:ﻫﻫｉp accｅsｓ-list <ｎaｍｅ|ｎumbeｒ> ＜extenｄed＿defｉniｔｉon> tiｍe－range <name_of_timｅ-ｒanｇe＞例子如下:tｉme-ｒaｎge EVＥＲYOTＨEＲDＡYｐerｉoｄic Monday Wedneｓｄay Friday 8:00 to 17:０0ﻫａｃcesｓ-list 101 ｐerｍｉt tcp 1０.１.1.０0.０．０.２55 １72.16.1.０0.０．0．25５eq tｅlneｔｔime－r ａｎge EVＥRＹOTHERDＡＹﻫinterｆaｃｅEｔｈeｒｎet0/0ﻫip addresｓ10.１.1.１25５.255.255.0ﻫip accｅsｓ－ｇrｏup 1０1 inﻫCommｅnted IP ACＬEntｒｉｅsﻫ为ACL语句标记注释这个特性是在Cisco IOS Ｒeleaｓｅ12．0.2.Ｔ中引入的.ﻫﻫ为命名ACＬ添加注释的语法为:ﻫｉp acｃess-list {sｔandａrd|extｅnｄed} <ｎａｍe> rｅｍaｒk ＜reｍａrk>为基于数字的ACＬ添加注释的语法为:ﻫﻫacｃess-liｓt <access-list-nuｍber> rｅmark ＜ｒｅmark＞ﻫﻫ例子如下:ﻫaccess-ｌｉｓt 101 permｉt tcp ｈost １0.1.1.2 ｈoｓt 17２.16．１.1 eｑtｅlｎeｔaccess-lｉst 1０1 rｅｍａｒk permit_ｔeｌｎetﻫｉｎtｅｒfａce Ｅtheｒnet0/０ｉp address 1０.1．1．1 ２5５.25５.255.0ip ａｃｃeｓs－ｇｒoｕp １01 inﻫ。