某个ACL规则如下，为什么10.0.1.0 和反码0.0.254.255可以产生以下效果

Question

rule 5 deny ip source 10.0.1.0 0.0.254.255

为什么10.0.1.1/32和10.0.3.0/24 可以被deny规则匹配？

反而10.0.2.0/24和10.0.4.0/24

Answer 1

要弄清这个问题需要先将IP和反掩码都转换成二进制，这样更便于理解。

10.0.1.0转换为二进制：      00001010.00000000.00000001.00000000

0.0.254.255转换为二进制：00000000.00000000.11111110.11111111

根据反掩码的特性，反掩码为0的位置是不允许改变的，反掩码为1的位置是可以随意变化的，此例子中，网络号的第1、2段（10.0）是不允许变化的，最后一段是可以随意变化的（0-255），区分单双数主要通过识别第三段。网络号第三段的最后一位是1，反掩码最后一位是0，所以第三段最后一位不允许变化，这样就实现了前七位不管怎样变化，加上最后一位的1都是单数，这样就实现了匹配所有单数。

例：

当第三段为：0000 0011，对应的网络号：10.0.3.0/24

当第三段为：0001 0001，对应的网络号：10.0.17.0/24

当第三段为：1001 0001，对应的网络号：10.0.145.0/24