路由器ACL中的wildcard-mask

路由器中使用的通配符掩码(或者称作反掩码)与源或目标地址一起来分辨匹配的地址范围。

通配符掩码告诉路由器为了判断出匹配，它需要检查IP地址中的多少位。这个地址掩码使我们可以只使用两个32位的号码来确定IP地址的范围。如果不使用掩码，我们必须将每个要匹配的IP地址加入一个单独的访问列表语句中。这将造成很多额外的输入和路由器大量额外的处理过程。

在访问列表中将通配符掩码中的一位设成1表示IP地址中对应的位既可以是1又可以是0，此位又称为“无关”位。掩码位设成0则表示IP地址中相对应的位必须精确匹配。

如：

反掩码为0.0.0.0 的192.168.0.1则代表192.168.0.1一个IP。（反掩码各位均为0，需要各位均匹配）

反掩码为255.255.255.255 的192.168.0.1则代表所有IP地址范围。（反掩码各位均为1，不需要各位匹配）

反掩码为0.0.0.255的192.168.0.1则代表192.168.0.1－255这个地址范围（255.255.255.0转换为二进制形式为00000000.00000000.00000000.11111111，也就是前16位均需要匹配，只有后八位不需要匹配）

通配符掩码检测器可以到http://www.boson.com/FreeUtilities.html下载。

ACL的执行顺序：从上往下执行，一个包只要遇到一条匹配的语句后就会停止后续语句的执行

写ACL时，一定要遵循最为精确匹配的语句写在最前面的原则只有这样才能保证不会出现无用的ACL语句。

当使用路由器连接到internet上，使用ACL时，我们要阻塞来自内部IP地址的入流量，以便阻塞哄骗攻击。即

deny 10.0.0.0 0.255.255.255

deny 172.16.0.0 0.15.255.255

deny 192.168.0.0 0.0.255.255

deny 127.0.0.0 0.255.255.255