А.4.3.8 Использование битов шаблона маски

Шаблон маски представляет собой 32-битовую величину, которая разделена на четыре октета, каждый из которых состоит из 8 бит. Бит 0 маски означает, что этот бит должен проверяться, а бит, равный 1, означает, что условие для него проверяться не будет (рис. А.7).

Рис. А.7. Тщательный подбор шаблона маски позволяет выбрать один или несколько IP-адресов для выполнения тестов на разрешение доступа или отказ в доступе

Примечание.

Маскирование списков управления доступом с помощью шаблона отличается от маскирования, используемого для IP-подсетей. Нулевой бит в маске списка указывает, что соответствующий бит в адресе будет проверяться, а единица означает, что значение бита не будет приниматься во внимание. Таким образом, битовый шаблон маски списка управления доступом часто выглядит как инвертированная маска подсети (например, шаблон маски списка выглядит как 0.0.255.255, а маска подсети - 255.255.0.0).

Шаблон маски применяется к IP-адресам, а значения битов шаблона указывают на способ обработки соответствующих битов IP-адреса.

Шаблон маски используется для указания одного или нескольких адресов, которые проверяются на соответствие условиям разрешения или блокирования доступа. Термин маскирование по шаблону (wildcard masking) применяется для обозначения процесса побитового сравнения.

Хотя шаблон маски списков управления доступом и маска подсети представляют собой 32-битовую величину, выполняемые ими функции значительно различаются. Нули и единицы в маске подсети определяют сеть, подсеть и номер хоста. Биты шаблона маски в IP-адресе определяют, будет ли проверяться соответствующий бит.

Как было сказано ранее, нули и единицы в шаблоне маски указывают списку управления доступом на необходимость проверять или не проверять соответствующие биты в IP-адресе. На рис. А.8 изображен процесс применения шаблона маски.

Предположим, что необходимо проверить IP-адрес для подсети, которому может быть разрешен или блокирован доступ. Предположим далее, что этот адрес относится к классу В (т.е. первые два октета представляют собой номер сети), а следующие 8 битов обозначают номер подсети (третий октет предназначен для номера подсети). Если требуется разрешить доступ всем пакетам с номерами подсети от 172.30.16.0 до 172.30.31.0, то следует использовать шаблон маски, которая показана на рис. А.4.31.

 

Рис. А.8. Адрес 172.30.16.0 с шаблоном маски 0.0.15.255 соответствует сериям с номерами от 172.30.16.0 до 172.30.31.0

Сначала с использованием нулевых битов шаблона маски проверяются первые два октета (172.30).

Поскольку индивидуальные адреса хостов не представляют интереса (идентификационный номер хоста не содержит в конце адреса 0.0), шаблон маски не учитывает последний октет, а использует единичные биты в шаблоне маски.

В третьем октете шаблон маски равен 15 (00001111), а IP-адрес равен 16 (00001000). Первые четыре нуля шаблона маски указывают маршрутизатору на необходимость проверки первых четырех битов IP-адреса (0001). Так как последние четыре бита не принимаются во внимание, все числа в интервале от 16 (00010000) до 31 (00011111) будут удовлетворять условию проверки, поскольку все они начинаются с 0001.

Последние (наименее важные) четыре бита в этом октете шаблона маски во внимание не принимаются — здесь могут находиться как нули, так и единицы, а соответствующие биты маски равны единице.

В приведенном примере адрес 172.30.16.0 с маской 0.0.15.255 соответствует подсетям с номерами от 172.30.16.0 до 172.30.31.0. Другие подсети не удовлетворяют условиям маски.

Далее >>>