-
反掩码详解
———
—————————————————————————————
作者
:
—————————————
———————————————————
日期
:
?
反掩码详解
在配置路由协议的时候
(
如Ｏ
S
ＰＦ、
EIG
Ｒ
P
）使用的反掩码
必需是连续的１
即网络地址。
例：
ｒ
oute
os
ｐ
f 100
ｎ
e
ｔｗ
ork 19
２
.16
８．
1
．０<
/p>
0.
０．０
.255
ｎ
e
ｔ
work
192.
１
68.
２
.
０
0.0.0
．
2
５
5
而在配置
ACL
的时候可以使用
不连续的
1
，只需
对应的位置匹配即可。
例
:ac
ｃｅｓ
s-l
ｉ
st
1
pe
ｒ
mit
1
９８
.78.46.0
0.0.11.2
５
5
?
正掩码和反掩码的区别
:
正掩码必须是连续的，而反掩码可以不连续，例如
:
Ｃ类地址子网掩码中不可以出现
２
55.253.255
．
0
（二进制为
1111111
１
< br>
111111
０１
1111
１１
11 00
００
000
０）这样的掩码
;
而反掩码可以出现
0.
０
.0.
２（二进制为
0
0000 00
０
00
）。
正掩码表示的路由条目
,
而反掩码表示的范围。
反掩码就
是通配符掩码
,
通过标记
0
和
1
告诉设备应该匹配到哪位。
< br>
在反掩码中，相应位为
1<
/p>
的地址在比较中忽略，为
0
的必须被检查
.
IP
地
址与反掩码都是
32
位的数
例如掩码是
255.255.25
５
.0
wil
ｄ
c
ar
ｄ
-
ｍ
a
ｓ
k
就是
0
.0.0.2
５
5
255.2
５
5.255.
２
4
8
反掩就是０
.0.0.7
通配符掩码
(wi
< br>ｌｄ
car
ｄ
-mask)
?
路由器使用的
通配符掩码
(
或反掩码
)
与源或目标
地址一起来分辨匹配的地址范围
,
它跟
子网掩码
刚好相反。它
像子网掩码告诉路由器
< br>IP
地址
的哪一位属于
网络号<
/p>
一样，通配符掩码告诉路由器为了判断出匹配，它需要检查
IP<
/p>
地址中的多少位。这个地址掩码对使我们可以只使用两个
3
２位的号码来确定
IP
地址的范围。这是十分
方便
的，因为如果没有掩码的话，你不得不对每个匹配的
IP<
/p>
客户地址加入一个单独的
访问列表
语句。
这将造成很多
额外的输入和路由器大量额外的处理过程。所以地址掩码对相当有用。
?
在子网掩码中
,
将掩码的一位设成
1
表示
IP
地址对应的位属于网络地址部分。相反，在访问列表中将通配符<
/p>
掩码中的一位设成１表示
I
Ｐ地址中对
应的位既可以是
1
又可以是
0
。有时
,
可将其称作“无关”位，因为路由
器在判断是否匹配时并不关心它们。掩码位设成
0
< br>则表示
IP
地址中相对应的位必须精确匹配。
???
通配符掩码
表<
/p>
CID
Ｒ
子网掩码
反掩码
25
30/
?
５．２
55.25
５
.252 0
．
0
．
0.325
5.2
29/
?
５
5
．
255.248
０
.0
．
0.7
/28 2
５
5
．
25
５．
25
５．
240
0.0.0
．
15
255
27
/
?
.
２５５
.2
５
5.224
< br>0
．
0
．
0.
３
1
?
/26 255.25
５
.255.
１
9
２
0.0
．０
.63
?
／２
5
２
55.255.255.128
０．０
.0.127
／２
4 2
５
5.2
５
5.2
５
5.
０
０
.0.0.255
2
23
/
<
/p>
?
５
5.
２
5
５．
254
．<
/p>
0 0
．
0.1
．
255
/2
２
25
5
．
255.252
．０
０
.0.3.
２
55
/21
2
５５．２
55.248.0
０．<
/p>
0.
７．２
55
／２０
255.25
５
.240.0
０
.
０
.15
．
255
?
/19 255.2
５５
.2
２
4.
０
0.
０
.31.255
18
/
?
２
55.
2
５
5.1
９
2
．０
０
.0.63.255
／１
7
255.255.128.0 0.
０
.127.255
?
／１６
25
５．
255.0.
０
0.
０
.25
５
.2
５
5
?
/1
５
25
5.
２
5
４
.
０．
0
０
.
1.255.25
５
?
/14
255
．２
52.0.0
0.3.25
５
.255
/13 25
５
.248
．
0
< br>．
0 0.7.
２５５
.255
?
/1
２
25
５
.240.0.
０
< br>
0.
１５
.
< br>２５
5.2
５５
?
/11
255.
２
24.0.0
0.31<
/p>
．
255
．
25
5
?
／１
0 25
５
.192
．
0
．０
< br>
0
．６
3.255.255<
/p>
9
/
?
255.128
< br>．
0
．
0
０
.
１
27
．
25
５
.
２
55
／
8
25
５
.0.0.0
0.255.255.255
??
十进制通配符掩码
计算方法
用二进制来表示子网掩码值，再用广播地址求其差值
,
然后再算回
十进制
。
?
即，推
出公式
:
通配符掩码
=2
５５
-
掩码
.
２
5
５－掩码．
２５
5
－掩码．
255-
掩码
?
举例一
?
求子网掩码２
55.25
５
.255.2
４
8
通配符掩码
(
反
掩
码
)
?
<
/p>
（
1
）、把子网掩码
255
．
255
．
255.248
转换成
二进制
为
:
?
１１
111111.1
１
111111.11
１
11
１
11
．
111
１
1
００
0
通配符掩码值为：广播全
1(
二进制）地址
减去
子网掩码二制制值，即：
?
111
１
1
１
11<
/p>
．
111
１
11
１
1
．１１
1
1111
１．
1111111
１
－
11
１
111
１１．１
1<
/p>
１
11111
．
11111
１
1
１
.1111100
０
得到结果为
:
000
00000.0
０
0
０
000
０
.000
０
00
０
0.
０
000011
１
?
转换为十进制
:
?
０
.0.0.7
?
?
(2<
/p>
）、通配符掩码
=255-
掩码
.
２５
5-
掩码
.255
－掩码．
25
５－掩码
,
即：
?
２
5
５－２５
5.2
５
5-255.255-255.25
５
-
２
48=0.0.
０
.7
?
?
举例二
求子网掩码
255.
２
55.1
２８
.0
通配符掩码
(
反掩码
)
?
（１
)
、把子网掩码
255
．
25
５
.1
２
8.
０转换成二进制
为
:
11
１
1<
/p>
１１
1
１
.11
11
１
11
１
.1000
０
0
００
< br>.
０
0000
０
0
?
通配符掩码值为
:
广播全
1(
二进制
)
地址
减去
子
网掩码二制制值，即
:
?
１
1
１
11111
．
１
1111111.1
１
111
１１
1
．１
1111
1
１
1 -
1
１
1
１
1111
．
11
１
11
１
11.10000000
．０
0
０
0000
得到结果为
:
000
０
0
０００
.
0000000
０
.0
１
1111
１
1.1111
１
111
?
转换为十进制：
0.0.
１２
7.
２
55
?
(
２
)
、
通配符掩码
=255-
掩码
.255-
掩码
.
２
55-
掩码．
255-
掩码
,
即
:
?
25<
/p>
５－
255.
２
55-255.2
５
5-12
８
.255-
０
=0
．
０．１
27.
２
55
?
Configuring
IP
Ac
ｃ
es
ｓ
List
IP
访问控制列表
(a
ｃ
c
ｅｓｓ
c
ｏ
nt
ｒｏｌ
lis
ｔ，
Ａ
CL)
用于过滤
I
Ｐ流量，
其中
RFC
170
０定义了知名
(well-
< br>ｋ
no
ｗ
n)
< br>端口号
,RFC 19
１
8
定义了私有
IP
地址空间
< br>??
Ｐｔ
.2 U
ｎ
ders
ｔ
an
d
ｉ
ng
Ａ
CL Con
ｃ
ept
ｓ
??
Usi
ｎ
g
Mask
ｓ
??
ACL
里的掩码也叫
i
ｎ<
/p>
verse
mask(
反掩码）或ｗ<
/p>
ildca
ｒｄ
ma
ｓ
k(
通配符掩码）
,
由
32
位长的
2
进制数字组
成
,4<
/p>
个八位位组
.
其中
0
代表必须精确匹配，
1
代表任意匹
配（即不关心）
反掩码可以通过使用２
55
．
25
５
.25
５．
2
５
５减去正常的子网掩码得到
,
比如要决定子网掩码为
2
５
5.
２
55
．２５
5.0
的<
/p>
IP
地址
17
２
.1
６．
1.0
的反掩码
:
2
?
５
5.
２
55.255.255-
255
．
255.255.0=0.0.0
．２
5
５
即１
72
．
16
．１
.
０的反掩码为
0.
０．０
.255
?
注意
:
反掩码为
255.255.255.25
５的０
.0.0
．０代表ａｎ
y,<
/p>
即任意地址
反掩码为０．
0.0.0
的
10.1.
１．
2<
/p>
代表主机地址
10
．
1.
１
.2
?
Summarizing
A
ＣＬ
s
??
下面描述的是如何汇总
(summar
ｉ
za
ｔｉ
o
ｎ
)
一组网络地址
,
< br>来达到优化Ａ
C
Ｌ的目的
:
?
192.168
．３
2
．
0
／
2
４
1<
/p>
９２．
1
６
8.
33
．
0/24
192
?
.
１６８
.34
．
0/2
４
19
?
２．１
68
．３
5.
０
/24
19
２
.168.
３
6.0/
２
4
19
２
.16
８
.
３
7.0/
２４
192
?
．
1
６
8.38
．
0/24
１
92.168.39.0/
２
4
?
这组
IP
地址的前２个和最后
1
个八位位组是一样的
,
再
看第
3
个八位位组，把它们写成２进制的形式：
３
2:0
０
10
０
0 00
?
３
3:
０
0
10
０
0
01
34:00
?
１
0
0
０
1
０
?
３
5:0
０
1
０
00
11
36
?
:
０
0 10
０
1
０
0
37
：
00
１
0
０
1
01
38
：０
0
10 01
10
?
３９
:00
１０
01
1
１
??
注意这组范围里的前
5
位都是一样的
,
所以这组
IP
地址范围可以汇总为
192.168
．３
2
．
0
／
21 255.
２
5
５
.248.0
，那么这组Ｉ
P
地址范围的反掩码为<
/p>
255.255.2
５
5.25
５－
2
５
5.
２
55
．
248.
０
＝
0.0.
７．
255
?
比如在做
I
Ｐ
stan
ｄ
ard ACL
的时候
,
就可以
:
a
ｃ
ces
s
－
l
ｉｓ
t
１
0
pe
ｒｍ
it
１
92
．１６
8.32
．
0
0.0.
７
.
２
55
??
再来看另一组
IP
地范围
:
192.168.
１
46
．０／２４
19
< br>?
２．１
6
８．
1
４
7.0
／
24
19
?
２
.1
６
8.14
８．０／２<
/p>
4
?
１
92.1
68.1
４
9.0/
２
4
照之前的方法
,
把第
3
个八
位位组写成
2
进制形式
:
1
４
6:<
/p>
１
0 0
１
00
１
0
1
47
?
：
10
０
1
００
11
1
４<
/p>
8:1
０
0
１
０
1
０
0
149
：
10 01
01
０１
?
是不是可以写成１９
2.1
６
8.1
４<
/p>
6
．
0/21
呢
?
不是
.
因为
采用
/
２
1
的
话将有
8
个子网将被考虑进去
,
如果在用
AC
Ｌ拒绝
上述
1
组地址的时候
,
就有可能把另外４个地址给封杀掉
.
一定要考虑到精确
匹配
,
上述地址就只能汇总成下面这２条地
址
:
??
对于
192.
１６８
.1
４
6.x
－
192.16
８
．１
47.x
为
:1
< br>９２
.168.146.0/23(192.
１
68.146.0 255.2
５５
.25
４．
0)
对于
1
９
2
．
1
６
8.
１４６．
8
－
1
９
2.1
68.149
．
x
为：
192.1
６
8.14
８
.0/23(192
．１
68
．１
48.0 255.
２
5
５
.2
５４
.
０
)
?
所以反掩码分别为
:0.0.
1.255
和
0
．
0
．
1.
２５
5
比如在做Ｉ
P
ｓ
t
ａｎｄ
ar
ｄ
< br>
ＡＣＬ的时候
,
就可以
:
??
acce
ｓs
?liｓ
t 1
０
permi
ｔ
１
92
．１６
8.146.0
0.0.1.
２５
5
a
ｃcess?liｓ
t
1
０
ｐ
e
ｒ
mit
1
９
2.1
６
8.148.
０
0.
０
.1
．２５
5
Pr
ｏ
ce
ｓ
sing
ＡＣ
Ls
?
当流量经过了配置的有
ACL
的路由器的时候，将和
ACL
里的条目
从上往下的进行比较
,
直到找到匹配的语句为止
,
如果
没有任何匹配的语句
,
流量将被拒绝（
deny)
掉．一般在
设置
ACL
的时候
,
< br>尽可能的把ｐ
e
ｒ
m
ｉ
t
语句放在
A
ＣＬ的最上
部．并且要记住的是
,ACL
在结尾处默认隐含的有
1
条拒绝所有流量的<
/p>
d
ｅ
n
ｙ语句<
/p>
,
如下
2
个
ACL,
Ａ
CL
101
和
ACL
1
０
２是有相同的效果的
:
?
acc
ｅ
ss-l<
/p>
ｉ
st 101
pe
ｒ
mit ip
10
．
1
．
1.0
0
．
0.0.255 172.16<
/p>
．
1
．
0
0
．
0.
０
.255
??
access-
ｌ
i
ｓｔ
１
02
ｐ
ermit
ip 1
０
.
１
.1.0 0
．
0.0.25
５
172.
１
6.1.0
０
.0
．
0.255
ａ
ccess
－
l
ist 10
２
ｄ
eny
ｉ
p an
ｙ
any
?
ACL
例子如下
:
a
ｃｃｅ
s
s-l
ｉｓｔ
101
ｐ
ermit
tc
ｐ
ho
ｓ
t 10.1.1.2
hos
ｔ
１
72.16.1.
１
eq teln
et
?
ａｃ
c
ｅ
ss-list
101
permi
ｔ
tcp
h
ｏ
st
１
0.1.
１
.
２
host 1
７２
.1
６
.1
．
1
?
ａ
c
ｃ
< br>es
ｓ
-list
1
０
1
pe
ｒｍｉ
t
u
ｄｐ
hos
ｔ
1
0
．
1.1
．
2 host
１
72.1
６
.1.1
?
a
ｃ
ces
ｓ
-list
１
01
perm
ｉ
t ip
１
0.1.1
．
0
0.
０．
0.255
172.16.1.
０
0.
０
.0.
２
55
?
最后
1
条语句就足够了
,
前
3
条语句可以不用配置．因为<
/p>
T
ＣＰ就包括了
telnet,
并且
IP
包括了
TC<
/p>
Ｐ和
UDP
．所以只
-
-
-
-
-
-
-
-
-
上一篇：自然拼读教材
下一篇：基于稀疏矩阵的逆和行列式的计算