उलटा मुखौटा

आईपी ​​पते के लिए मौजूदा मुखौटा आईपी काल के पते पर वर्ग विभाजन से बाहर हो गया:

कक्षा ए: मेजबान संख्या के लिए नेटवर्क नंबर 24 बिट्स के लिए 8 बिट्स
कक्षा बी: प्रति नेटवर्क 16 बिट्स और प्रति होस्ट 16 बिट्स
कक्षा सी: 24 बिट प्रति नेटवर्क; 8 मेजबान प्रति बिट

जब एक समान तरीके से पते को विभाजित करने के लिए बहुत बेकार हो गया, तो एक मुखौटा दिखाई दिया, जो कि 32-बिट (आईपी पते में बिट्स की समान संख्या होती है) क्षेत्र की शुरुआत से लगातार इकाइयों का क्षेत्र होता है, और लगातार शून्य के बाद। इकाइयां आईपी पते में उन बिट्स को परिभाषित करती हैं जो नेटवर्क नंबर का निर्माण करती हैं, पते में उन बिट्स को होस्ट संख्या बनाते हैं।

  आईपी ​​पता, दशमलव: 10. 10. 0. 1
 आईपी ​​एड्रेस, बाइनरी: 00001010.00001010.00000000.00000001
 मास्क, बाइनरी: 11111111.11111111.11111100.00000000
 मास्क, दशमलव: 255.2525.2525 

इस तरह से मुखौटा का प्रतिनिधित्व शब्द बिट मास्क के साथ काफी सुसंगत है, अर्थात। इकाइयां और शून्य मूल संख्या में विशिष्ट बिट्स पर कार्रवाई निर्धारित करते हैं, लेकिन यह आईपी पते के प्रारूप के साथ अच्छी तरह से मेल नहीं खाता है - नेटवर्क नंबर हमेशा शुरुआत में बिट्स द्वारा निर्धारित किया जाता है, अंत में बिट्स द्वारा होस्ट संख्या। इसलिए, 32-बिट फ़ील्ड के रूप में मास्क का प्रतिनिधित्व निरर्थक है। मुखौटा को विशिष्ट रूप से निर्धारित करने के लिए, आप आईपी पते की शुरुआत से 0 से 32 तक एक पंक्ति में केवल इकाइयों की संख्या निर्धारित कर सकते हैं - उपसर्ग पदनाम, आमतौर पर आईपी पते के बाद एक अंश में लिखा जाता है: 10.10.0.1/22 के ऊपर उदाहरण के लिए - 22 बिट नेटवर्क संख्या और 32-22 = 10 बिट होस्ट नंबर। यदि यह IPv6 पते के बारे में बोलता है, तो केवल उपसर्ग मुखौटा / पता रिकॉर्ड वहाँ परिभाषित किया गया है - 2001: d8: a15e :: 1/48

अब मुखौटा की इस तरह से कल्पना करें कि इकाइयां आईपी पते में उन बिट्स को निर्धारित करती हैं जो होस्ट नंबर बनाते हैं, और उन बिट्स को शून्य करते हैं जो नेटवर्क नंबर बनाते हैं, परिणामस्वरूप हमें उलटा मुखौटा मिलता है:

  आईपी ​​पता, दशमलव: 10. 10. 0. 1/22
 आईपी ​​एड्रेस, बाइनरी: 00001010.00001010.00000000.00000001
 मास्क, बाइनरी: 11111111.11111111.11111100.00000000
 उलटा मुखौटा, बाइनरी: 00000000.00000000.00000011.11111111
 मास्क, दशमलव: 255.2525.2525
 उलटा मुखौटा, दशमलव: 0. 0. 3. 255 

यह वह है जो कोई भी, या लगभग कोई भी, नेटवर्क कैलकुलेटर कर सकता है, यहाँ यह बाइनरी अंकगणित नहीं है, या अंकगणित नहीं है, लेकिन संख्या प्रणालियों के बीच संख्याओं के अनुवाद में बुनियादी हेरफेर है।

एक सीधी रेखा से एक व्युत्क्रम मुखौटा प्राप्त करना, और व्युत्क्रम क्रिया को बिट फ़ील्ड में इन्वर्ट करके किया जाता है - 0 को 1 से 1 और 1 को 0. यदि आप दशमलव प्रतिनिधित्व का उपयोग करते हैं, तो व्युत्क्रम मुखौटा प्राप्त करने की गणना निम्नानुसार की जाती है: प्रत्यक्ष मास्क में ओकटेट मान के अनुरूप संख्या 255 से घटाया जाता है, उदाहरण के लिए ऊपर। :

  255.255.255.255
 - 255.255.252।  0
 = 0. 0. 3.255 

व्युत्क्रम से प्रत्यक्ष में अनुवाद भी इसी उलटा मुखौटा के 255 ओकटेट मान से घटाकर किया जाता है:

  255.255.255.255
 - 0. 0. 3.255
 = 255.255.252।  0 

उलटा मुखौटा शब्द का उपयोग करते हुए, मैंने जानबूझकर रूसी शब्द - उलटा मुखौटा (वाइल्डकार्ड मास्क) के आम तौर पर स्वीकार किए गए नाम को विकृत कर दिया है - क्योंकि आईपी पते में नेटवर्क और होस्ट की संख्या के लिए रिवर्स मास्क सिर्फ एक और बिट पदनाम की तुलना में बहुत अधिक शक्तिशाली तंत्र है। एक रिवर्स मास्क को लगातार इकाइयाँ या शून्य शामिल करने की आवश्यकता नहीं होती है, और इकाइयाँ आईपी पते में केवल एक मेजबान क्षेत्र का एक पदनाम नहीं होती हैं। इकाइयां आईपी पते में बिट्स का पदनाम हैं, जो शर्तों की जांच करते समय बदल सकते हैं, और शून्य अपरिवर्तित बिट्स को ठीक करते हैं। यही है, रूसी शब्द "रिवर्स मास्क" "इन्वर्टर मास्क" की तुलना में "वाइल्डकार्ड मास्क" से अधिक मेल खाता है, हालांकि तकनीकी प्रलेखन एक ही अर्थ में दोनों का उपयोग करता है।

रिवर्स मास्क का दायरा सिस्को में सशर्त परिचालन है जैसे कि सिस्को में इंटरफ़ेस और विचारधारा (न केवल सिस्को डिवाइस)। इन क्षेत्रों में एक्सेस लिस्ट (ACLs) शामिल हैं - यह आपको इस नेटवर्क से न केवल मेजबान की स्थिति बनाने की अनुमति देता है, बल्कि नेटवर्क के बहुत अधिक लचीले नियम और परिभाषाएं, साथ ही साथ राउटिंग प्रोटोकॉल को कॉन्फ़िगर करना, उदाहरण के लिए OSPF - आपको गैर-निरंतर की घोषणा करने के लिए कॉम्पैक्ट नियम बनाने की अनुमति देता है नेटवर्क।

हम नेटवर्क 192.168.0.0/24 से कहीं भी विषम मेजबान तक पहुंच से इनकार करने की समस्या का समाधान करेंगे। यदि हमारे पास हमारे निपटान में केवल एक सीधा मुखौटा है, तो हमें इस नेटवर्क में प्रत्येक विषम संख्या के लिए एक नियम बनाने की आवश्यकता है। 192.168.0.1 से 192.168.0.253 तक। IP 192.168.0.255 एक प्रसारण पता है और हमें इसे संसाधित करने की आवश्यकता नहीं है। हम (सिस्को संकेतन में) प्राप्त करते हैं:

access-list 101 deny ip 192.168.0.1 255.255.255.255 any

(255.255.255.255 को विशेष रूप से होस्ट शब्द के साथ प्रतिस्थापित किया जा सकता है, इसे करते हैं)

  एक्सेस-लिस्ट 101 इनकार आईपी होस्ट 192.168.0.1 कोई
 एक्सेस-लिस्ट 101 इनकार आईपी होस्ट 192.168.0.3 कोई
 एक्सेस-लिस्ट 101 इनकार आईपी होस्ट 192.168.0.5 कोई भी
 एक्सेस-लिस्ट 101 इनकार आईपी होस्ट 192.168.0.7 कोई
 ...
 एक्सेस-लिस्ट 101 इनकार आईपी होस्ट 192.168.0.93 किसी भी
 ...
 एक्सेस-लिस्ट 101 इनकार आईपी होस्ट 192.168.0.253 किसी भी
 एक्सेस-लिस्ट 101 परमिट आईपी किसी भी 

कुल: 128 लाइनें।

अंत में, हमने उन सभी चीजों तक पहुंच की अनुमति दी जो हमने मना नहीं की थी। अब हमें इस ACL को वांछित इंटरफ़ेस, Fa0 / 1 के साथ जोड़ना होगा, उदाहरण के लिए:

  int fa0 / 1
 आईपी ​​एक्सेस-ग्रुप 101 इन 

आइए संपत्ति का उपयोग करके परिणामी एसीएल को कम करने का प्रयास करें जो द्विआधारी प्रतिनिधित्व में एक विषम संख्या में हमेशा शून्य बिट में 1 का मान होता है।

  192.168.0.0 = 11000000.10101000.00000000.0000000 | 0 - सम।
 192.168.0.1 = 11000000.10101000.00000000.0000000 | 1 - भी नहीं।
 192.168.0.2 = 11000000.10101000.00000000.0000001 | 0 - सम
 192.168.0.3 = 11000000.10101000.00000000.0000001 | 1 - भी नहीं
 192.168.0.4 = 11000000.10101000.00000000.0000010 | 0 - सम
 192.168.0.5 = 11000000.10101000.00000000.0000010 | 1 - भी नहीं
 192.168.0.6 = 11000000.10101000.00000000.0000011 | 0 - सम
 192.168.0.93 = 11000000.10101000.00000000.0101110 | 1 - भी नहीं 

हम उलटा मुखौटा का उपयोग करते हैं, मैं आपको याद दिलाता हूं कि 1 - बिट्स जो बदल सकते हैं, 0 जो नहीं कर सकते हैं। मास्क / 24 = 255.255.255.0 उलटा मुखौटा में 0.0.0.255 या 00000000.00000000.00000000.11111111 है। यही है, अंतिम ऑक्टेट सभी बिट्स में बदल सकता है, लेकिन हम जानते हैं कि 0 बिट्स को अपरिवर्तित छोड़ दिया जाना चाहिए, इसलिए हम उलटा मास्क को निम्नानुसार बदलते हैं: 00000000.00000000.00000000.11111110 या 0.0.0.254। ध्यान दें कि यदि हम इस प्रविष्टि को एक डायरेक्ट मास्क में बदलते हैं, उलटे मास्क के नियमों के अनुसार, हमें 255.255.255.1 मिलता है, जो मास्क के लिए एक अमान्य प्रविष्टि है, और नेटवर्क कैलकुलेटर इस के साथ सामना करने में सक्षम नहीं होगा (या मैंने उन्हें नहीं देखा)।

तो हमारे नेटवर्क 192.168.0.0/24 में हमेशा अंतिम ओकटेट में 1 होना चाहिए, शून्य बिट, अर्थात्, 192.168.0.1 0.0.0.254 के रिवर्स मास्क के साथ।

  नेटवर्क 192.168.0.1, बाइनरी: 11000000.10101000.00000000.00000001
 उलटा मुखौटा 0.0.0.254, बाइनरी: 00000000.00000000.00000000.11111110 

व्युत्क्रम मुखौटा में इकाइयाँ पते में परिवर्तनशील बिट्स हैं - ये 1 से 7 तक अंतिम ऑक्टेट में बिट्स हैं, उनके उपयोग के साथ और शून्य बिट हमेशा एक के बराबर है, हम 1 से 255 तक कोई भी विषम संख्या बना सकते हैं।

अब एक ACL लिखें, क्योंकि IP मान 192.168.0.255, का एक विशेष अर्थ है, हम इसे पहली पंक्ति में अनुमति देंगे, अन्यथा यह भी निषिद्ध होगा:

  एक्सेस-लिस्ट 101 परमिट आईपी होस्ट 192.168.0.255 कोई भी
 एक्सेस-लिस्ट 101 इनकार आईपी 192.168.0.1 0.0.0.254 किसी भी
 एक्सेस-लिस्ट 101 परमिट आईपी किसी भी 

कुल: 128 के बजाय 3 लाइनें, आप कह सकते हैं "वाह!"।

कार्य को जटिल करने के लिए, 192.168.0.0/16 सबनेट में प्रचलित ओकटेट विषम होना चाहिए। अर्थात्, नेटवर्क 192.168.1.0/24, 192.168.3.0/24, आदि के लिए। पहुंच बंद होनी चाहिए। हमारे उलटा मास्क को बदलें - उलटा मास्क / 16 = 0.0.255.255 के लिए, अष्टभुजाकार ओकटेट, हम 254 को पहले उदाहरण के साथ सादृश्य द्वारा बनाएंगे, इसलिए हमें 0.0.254.255 मिलता है। और हमारे नेटवर्क में 0.0254.255 के रिवर्स मास्क के साथ 192.168.1.0 के ऑक्टेट की एक अजीब पूर्व शर्त होनी चाहिए।

  नेटवर्क 192.168.1.0, बाइनरी: 11000000.10101000.00000001.00000000
 उलटा मुखौटा 0.0.254.255, बाइनरी: 00000000.00000000.11111110.11111111 

और हमारे एसीएल, पूर्व-संकल्पित आईपी 192.168.255.255 का विशेष अर्थ है:

  एक्सेस-लिस्ट 101 परमिट आईपी होस्ट 192.168.255.255 कोई भी
 पहुँच-सूची 101 इनकार आईपी 192.168.1.0 0.0.254.255 किसी भी
 एक्सेस-लिस्ट 101 परमिट आईपी किसी भी 

और अब हम इसे ऐसा करेंगे कि विषम सबनेट पर 192.168.0.0/16 पर पारंगत ऑक्टेट मेजबानों को 1 से 63 तक (अंतिम ऑक्टेट में संख्या) निषिद्ध होना चाहिए। हमने उपरोक्त उदाहरण में विषम पेनेट्रेटिव ऑक्टेट को प्रतिबंधित करने के साथ समस्या को हल किया, अब हम 1 से 63 तक मेजबानों की गणना करेंगे। 63 द्विआधारी प्रतिनिधित्व में 111111 है, इसलिए हमें 00000001 से 00111111 तक संख्याओं का चयन करना होगा। पिछले रिटर्न मास्क 0.0.254.255 ने अंतिम ऑक्टेट में सभी नंबरों का चयन किया, अर्थात सभी 8 बिट्स बदल सकते थे, हमें केवल दो बिट्स बदलने की आवश्यकता है, अर्थात्। 0 से 63 तक की संख्या, अंतिम ऑक्टेट के लिए हमारे पास प्रविष्टि 00111111 है पूरे मुखौटा 0.0.254.63।

  नेटवर्क 192.168.1.0, बाइनरी: 11000000.10101000.00000001.00000000
 उलटा मुखौटा 0.0.254.63, बाइनरी: 00000000.00000000.11111110.00111111 

मेज़बान का मान 0 है, विषम पेक्टैक्ट्स के लिए, हम एक अलग ACL नियम की अनुमति देते हैं, क्योंकि उन्हें कार्य की स्थिति से निषिद्ध नहीं किया जाना चाहिए। इस स्थिति के लिए, अंतिम ऑक्टेट में व्युत्क्रम मास्क को सख्ती से एक नंबर सेट करना चाहिए, अर्थात, बिट्स में से कोई भी बदलना नहीं चाहिए, फिर व्युत्क्रम मास्क में यह ऑक्टेट 0 होगा।

  नेटवर्क 192.168.1.0, बाइनरी: 11000000.10101000.00000001.00000000
 उलटा मुखौटा 0.0.254.0, बाइनरी: 00000000.00000000.11111110.00000000 

और हमारे एसीएल, अंतिम ऑक्टेट में 255 के मान के साथ नियम की अनुमति देते हैं, हमारे पास नहीं है, क्योंकि यह मान निषेध नियम में नहीं आता है:

  पहुंच-सूची 101 परमिट आईपी 192.168.1.0 0.0.254.0 कोई भी
 पहुँच-सूची 101 इनकार आईपी 192.168.1.0 0.0.254.255 किसी भी
 एक्सेस-लिस्ट 101 परमिट आईपी किसी भी 

सामग्री को समेकित करने के तरीके के रूप में, आप केवल उलटे मास्क का उपयोग करके आखिरी ACL की रचना करने की कोशिश कर सकते हैं (यानी जहां 0 और 1 एक पंक्ति में सख्ती से चलते हैं, शुरुआत में और क्रमशः रिकॉर्डिंग के अंत में), और लाइनों की संख्या में लाभ की गणना करें।

एक संभावित सवाल यह है कि यदि नेटवर्क को भी प्रतिबंधित करना आवश्यक है तो क्या करना है: सम संख्या में शून्य बिट हमेशा 0 होता है, एकता के बजाय हम सेट करते हैं 0. पहले उदाहरण के लिए, सब कुछ समान है, लेकिन मेजबान भी:

  नेटवर्क 192.168.0.0, बाइनरी: 11000000.10101000.00000000.00000000
 उलटा मुखौटा 0.0.0.254, बाइनरी: 00000000.00000000.00000000.11111110 

ACL छोटा है क्योंकि IP 192.168.0.255 निषिद्ध नहीं है:

  एक्सेस-लिस्ट 101 इनकार आईपी 192.168.0.1 0.0.0.254 किसी भी
 एक्सेस-लिस्ट 101 परमिट आईपी किसी भी 

मैंने बहुत से विवादों के बारे में सुना कि यह तंत्र कितनी बार व्यवहार में लागू होता है। उद्योग में 4 साल के काम के लिए, मैंने इसे केवल एक बार इस्तेमाल किया, लेकिन इस बार मुझे कई हजार प्रविष्टियों से एसीएल को कम करने की अनुमति दी गई थी यदि मानक मास्क (या मानक मास्क के लिए सिर्फ एक उलटा) का उपयोग एक के लिए किया जाता था, वास्तव में इसका एक उदाहरण ऊपर है।

यह पोस्ट habrahabr.ru/blogs/sysadm/129664 से प्रेरित है जिसमें मैं अपने लिए वर्णित विषय का खुलासा नहीं कर पाया, इसके लेखक प्रेरणा के लिए धन्यवाद। आप सिस्को वेबसाइट पर (अंग्रेजी में) सिस्को राउटर के लिए ACLs और मास्क के बारे में पढ़ सकते हैं: www.cisco.com/en/US/products/sw/secursw/ps1018/products_tech_note0186a00800a5b9a.shtml