Wildcard Mask Hesaplama (ACL Joker Maske)

Wildcard mask nedir?

Wildcard mask (joker maske), bir adresin hangi bitlerinin eşleşmesi gerektiğini söyler: 0 biti "bu bit aynı olmalı", 1 biti "bu bit önemsiz" demektir. Alt ağ maskesinin bit bit tersidir; 255.255.255.0 maskesinin joker karşılığı 0.0.0.255'tir. Cisco yönlendirici ve anahtarlarında erişim listeleri (ACL), OSPF'in network komutu ve EIGRP gibi yapılandırmalar maske yerine joker maske bekler. Wildcard mask hesaplama aracı bir joker maskenin hangi adresleri eşlediğini gösterir, maskeyi jokere çevirir ve bir adres ya da aralıktan hazır ACL satırları üretir.

Joker maske nasıl hesaplanır?

Her oktet 255'ten çıkarılır: 255.255.255.255 − 255.255.255.192 = 0.0.0.63. Önekten gitmek de aynı sonucu verir; /26'da son 6 bit host bitidir ve 2⁶ − 1 = 63 eder. Araçtaki joker kutusuna 0.0.0.63 yazabileceğiniz gibi /26 ya da 255.255.255.192 da yazabilirsiniz; maske yazdığınızda araç bunu fark eder ve joker karşılığını gösterir. Sonucu ikili gösterimle kontrol etmek en güvenli yoldur: araç jokerin ikili hâlini de yazar, böylece 1 bitlerinin nerede başladığını ve arada kesilip kesilmediğini bir bakışta görürsünüz. Aşağıdaki tablo en sık kullanılan değerleri özetler.

Sonuç nasıl okunur?

Araç IP adresiyle joker maskeyi birlikte değerlendirir. İlk eşleşen adres, IP'nin önemsiz bitleri sıfırlanmış hâlidir; son eşleşen adres bu bitlerin hepsi 1 olduğunda çıkar. Eşleşen adres sayısı, joker maskedeki 1 bitlerinin sayısı kadar ikinin kuvvetidir. Joker bitişikse aynı adresler tek bir CIDR bloğudur ve araç eşdeğer bloğu ve alt ağ maskesini de yazar. IP'nin önemsiz bitlerinden biri doluysa (ör. 192.168.1.77 0.0.0.255) bunun 192.168.1.0 0.0.0.255 ile aynı anlama geldiği belirtilir.

Cisco ACL satırı örneği

İkinci bölümde kaynağı CIDR, tek IP, a - b aralığı ya da any olarak yazın; ACL türünü, numarayı ya da adı, eylemi, protokolü ve gerekiyorsa hedef portu seçin. 192.168.1.0/24 ağından her yere IP trafiğine izin veren genişletilmiş liste şöyle çıkar:

access-list 110 permit ip 192.168.1.0 0.0.0.255 any

Tek adres için joker 0.0.0.0 yerine host 10.0.0.5, tüm adresler için 255.255.255.255 yerine any kısaltması yazılır. Standart listeler (1-99, 1300-1999) yalnız kaynak adrese bakar; genişletilmiş listeler (100-199, 2000-2699) kaynak, hedef, protokol ve port içerir. Aralık blok sınırına denk gelmiyorsa araç onu en az sayıda satıra böler. Satırlar yukarıdan aşağı değerlendirilir ve ilk eşleşen kural uygulanır; listenin sonunda görünmeyen bir deny any vardır. Hazır listeyi arayüze ip access-group 110 in komutuyla bağlarsınız.

OSPF ve EIGRP'de joker maske

Joker maske yalnız erişim listelerinde kullanılmaz. OSPF'te network 192.168.1.0 0.0.0.255 area 0 satırı, adresi bu aralığa düşen arayüzleri OSPF'e dahil eder; EIGRP'nin network komutu da aynı mantıkla çalışır. Burada joker, hangi arayüzlerin yönlendirme protokolüne katılacağını seçer, trafiği süzmez. Tek bir arayüzü seçmek için o arayüzün adresi ve 0.0.0.0 yazılır. Geniş bir joker, örneğin 10.0.0.0 0.255.255.255, cihazdaki bütün 10.x arayüzlerini birden kapsar; pratik olsa da istemediğiniz bir arayüzün komşuluk kurmasına yol açabilir. Hangi adreslerin kapsandığını araçta ilk ve son eşleşen adrese bakarak doğrulayabilirsiniz.

Bitişik olmayan joker maskeler ve sık hatalar

Joker maskedeki 1 bitlerinin ardışık olması gerekmez. 10.0.0.1 0.0.0.254 son okteti tek sayı olan 128 adresi, 192.168.0.0 0.0.254.255 ise üçüncü okteti çift olan bloklardaki adresleri eşler. Cisco IOS erişim listeleri bunu kabul eder; ancak bu desen tek bir CIDR bloğuyla yazılamaz ve iptables, nftables ya da bulut güvenlik grupları gibi araçların çoğunda karşılığı yoktur. Araç böyle bir maskede ilk eşleşen adresleri örnek olarak listeler.

• Joker yerine maske yazmak: ACL'de 192.168.1.0 255.255.255.0 yazmak tek bir ağı değil, son okteti 0 olan bütün adresleri eşler.
• Kural sırası: Geniş bir permit satırı altındaki dar deny satırını etkisiz bırakır; dar kuralı üste yazın.
• Örtük engel: Listede yalnız permit satırları varsa geri kalan her şey düşer; yönetim erişiminizi kesmemek için önce kendi adresinize izin verin.

Bir bloğun sınırlarını görmek için CIDR hesaplama, bir ağı alt ağlara bölmek için subnet hesaplama aracını kullanabilirsiniz. Kuralınızın sonucunu dışarıdan doğrulamak için port kontrol aracı işinize yarar.