ACL通配符计算

菜菜

今天复习了一下ACL的写法，猛然发现又生疏了，还是要多练习。附上转的一篇ACL通配符计算的帖子，大家共勉。



学习ACL，搞懂ACL就不能不搞定wildcard mask，通配符掩码。说简单点，通配符掩码就是0为绝对匹配，必须严格匹配才行，而1为任意，从某种意义上讲，如果一个8位上有一个1字符，那也只有两种方式，0或者1，但是如果进行组合，那么方式就多了。
举例说明吧。
一般我们在应用上都是进行地址块的匹配，怎么讲呢？就是说：
1）对某个A B C类网进行匹配或者教通配符屏蔽
2）对某个子网应用ACL。
3）对特定主机应用ACL
4）对任意主机或者网络应用ACL
5）特殊情况的匹配

差不多就是以上五种情况，下面一一说明。
1）对某个有类网络进行ACL的通配符屏蔽。
这种情况很好解释。
例如：A类：10.0.0.0 0.255.255.255
先写成二进制形式： 00001010.00000000.00000000.00000000
                                00000000.11111111.111111111.11111111
可以看出，第一个字节需要严格匹配，也就是说必须为10.，后面的任意匹配。
得到的网络为10.*.*.*
如果我把这个改一下呢？10.0.0.0 0.0.3.255
同样写成二进制形式：00001010.00000000.00000000.00000000
                                   00000000.00000000.00000011.111111111
前两个字节严格匹配为10.0，后面的同上题一个思路，0就严格匹配，1就任意。
在这里，后10个比特可以任意匹配，我们通过计算可以得到合适的结果：
10.0.0.*
10.0.1.*
10.0.2.*
10.0.3.*
这四个子网

2）
对某个子网应用ACL
还是举例说明，以C类网络192..168.1.0/24为例进行子网划分。
我们引入地址块的思想进行解释会好理解一些。因为子网一般都是以地址块形式存在的。
址块为128，192.168.1.128 0.0.0.127
址块为64，192.168.1.0 0.0.0.63
址块为32，192.168.1.0 0.0.0.31
址块为16，192.168.1.0 0.0.0.15
址块为8，192.168.1.0 0.0.0.7
址块为4，192.168.1.0 0.0.0.3
址块为2，192.168.1.0 0.0.0.1

3）对特定主机应用ACL
通配符需要全匹配，例如：182.168.12.4 0.0.0.0
还有一种表示方法：host 182.168.12.4
Host在这里是关键字，用来代替0.0.0.0 ，用于源地址和目的地址字段。

4）对任意主机或者网络应用ACL
这是任意匹配的情况，主机任意，通配符任意匹配：0.0.0.0 255.255.255.255，同时这里也有简写——any

5）比较特殊的情况。（这是大杀器）
用我的话说这种情况是不按规则出牌的情况，也是比较有趣的。（某人作风{:soso_e141:} ）
我不想让某个子网或者是某个有类网被通配符屏蔽，我仅仅是想让部分主机被屏蔽，不过这部分主机也应该是有规律的，要不管理人员肯定得折腾疯。哈哈。
仅举两例以供说明：
述便写一个，计算出屏蔽了哪些网络。
随便写一个 192.168.1.23 0.0.0.5
怎么？傻眼了？这就是不按规则出牌的情况，CCNA自学指南里面肯定说了，不能从11.0或者12.0等网络开始，非得是2的次幂才行。对此规矩我们不予理睬，还是使用最为原始的办法进行一个一个匹配。
写成二进制形式：11000000.10101000.00000001.00010111
                            00000000.00000000.00000000.00000101
接下来就是匹配计算了。前三个字节毫无疑问，严格匹配。最后一个字节逢0匹配，逢1任意。
00010111

00000101

                                                                              
00010*1*
如上的公式，我们看到有星号的位置是可以任意匹配的，这样我们就可以算出：
①00010010——18

②00010011——19

③00010110——22

④00010111——23

这样就很明显了，得到的结果就是192.168.1.18
192.68.1.19
192.168.1.21
192.168.1.23
都被0.0.0.5这个通配符掩码给屏蔽了。
怎样，这个不按规则出牌的通配符掩码是不是也愚弄了你一次？


备注：只要严格按照 0——严格匹配，1——任意配置的原则不管什么反掩码都是纸老虎。

第二个，我需要匹配一个网络里面奇数IP的主机或者偶数IP的主机（或者的路由过滤中需要奇数网络）
还是看例子：
192.168.1.1
192.168.1.2
192.168.1.3
192.168.1.4
192.168.1.5
192.168.1.6
192.168.1.7
192.168.1.8
……………
192.168.1.254

思路都是一样的，条条道路通罗马，这里条条道路通配符
我还是要写成二进制形式
前面的三个字节就省略了，只写后面的一个字节的：
00000001
00000010
00000011
00000100
00000101
00000110
00000111
00001000
…………
看出规律了么？ 什么？没有啊，仔细瞧瞧么！奇数IP的最后一位都是1，而偶数IP的最后一位都是0。这就是规律啊。
那么怎么写呢？这个就比较简单了吧，奇数IP的：192.168.1.1 0.0.0.254 ；偶数IP的呢——192.168.1.2 0.0.0.254

如上就是我对ACL的理解，有说错的，做错的，还望大家指正，所谓三人行必有我师，你有什么更好的办法别忘记跟帖。


ACL主要难点是在通配符的计算，如有这么一道题：
已知子网，求通配符掩码。
例：允许199.172.5.0/24
199.172.10.0/24
199.172.13.0/24
199.172.14.0/24网段访问路由器。要求写出ACL来，但只能用两条ACL代替。

1.
先将这四个数换成二进制：
5  .0……… 0 1 0 1
10.0……… 1 0 1 0
13.0……… 1 1 0 1
14.0……… 1 1 1 0
观察可以看到5.0和13.0
10.0和14.0有共同点。
2.
将不相同的部分用*表示
5  .0和13.0----* 1 0 1

10.0和14.0----1 * 1 0
3.
将*换成1，数字换成0。可以得出：
5  .0和13.0----* 1 0 1
------------------1 0 0 0
10.0和14.0----1 * 1 0
------------------0 1 0 0
4.
最后将二进制换成十进制：
5  .0和13.0-----* 1 0 1
-------------------1 0 0 0
-------------------8
10.0和14.0-----1 * 1 0
-------------------0 1 0 0
-------------------4
最后得出：
access-list 10 permit 199.172.5.0 0.0.8.0
access-list 11 permit 199.172.10.0 0.0.4.0

城市日记

[s:54]

NECPAC

feiliwushi06

wjm

铭诚

鼎子

学习下！！！

c4919654

四毛

学习学习{:soso_e112:}

mickeymichael

zoomanyp

414807640

写的很详细，好东西

苏樱

非常之有用！

520tongge

奈斯

520tongge