Cisco - Ausência de uma máscara curinga em uma ACL

Wildcard masks

Para definir quais sub-redes serão afetadas por uma determinada regra de ACL, você vai precisar usar a wildcard mask. Neste tipo de máscara 0 e 255 tem sentidos exatamente opostos à máscara de sub-rede que você já está acostumado (pelo menos espero que já esteja, hehehe).

Neste tipo de máscara, um bit 0 quer dizer que o octeto tem que “casar” exatamente e um bit 1 é ignorado (pode ser qualquer coisa). Ou seja, exatamente o contrário do que se faz quando se usa uma máscara de sub-rede normal. Porém, o valor dos bits continua o mesmo: da esquerda para a direita eles valerão 128, 64, 32, 16, 8, 4, 2, 1, respectivamente.

NOTA: Se você estiver configurando uma ACL em um ASA ou PIX, *não* use wildcard masks. Use a máscara normal.

Dois exemplos simples para você pegar o jeito:

Digamos que você precisa de uma wildcard mask que reconheça todos os IPs da rede 192.168.0.0/24. A máscara seria 0.0.0.255:

• Os três primeiros 0s indicam que é obrigatório que 192.168.0 esteja presente no endereço IP do pacote sendo analisado.

• O .255 indica que naquele octeto qualquer número é válido.

Para identificar um conjunto de subredes é a mesma coisa. Suponhamos que você quer que todas as redes entre 192.168.16.0/24 a 192.168.31.0/24 sejam afetadas por uma regra. A wildcard seria 0.0.15.255:

• Os dois primeiros 0s indicam que é obrigatório que 192.168 esteja presente

• 15 é a soma dos bits para que as subredes desejadas casem com a regra

• 255 indica que o último octeto não importa e vai casar qualquer que seja o número lá.

Se eu tiver uma entrada ACL padrão como este:

1 - access-list 98 deny 10.0.0.0
2 - access-list 98 permit any

e eu aplicá-la a uma interface. O que faz abordar esse bloco?

Alguém poderia pensar que deixando de fora a máscara curinga usaria o limite classful (/ 8 ou 0.255.255.255) de endereçamento ... mas seria errado. Na IOS se você deixar de fora a máscara curinga uma máscara de 0.0.0.0 é assumida. Isto significa que o endereço é considerado um endereço de host (um único endereço IP). Isto significa que a primeira linha é igual a:

1 - access-list 98 deny 10.0.0.0 0.0.0.0

ou

1 - access-list 98 deny host 10.0.0.0

Lembrando que pode ser testado com o Packet Tracer. O assunto de wildcard masks (Ausência de Mascara) é bem extenso e complexo, e exige um post só para ele. Por enquanto, vou ficar por aqui para não deixar o post muito longo. Se você precisa de mais ajuda entendendo este tipo de máscara, sugiro que faça uma pesquisa no Google por textos de apoio.