选择题 21.封禁ICMP协议，只转发212．78．170．166／27所在子网的所有站点的ICMP数据包，正确的access-list配置是( )。

A、 Router(config)#access—list 110 permit icmp 212．78．170．166 0．0．0．0 any Router(config)#access-list 110 deny icmp any any Router(config)#access—list 110 permit ip any any
B、 Router(config)#access—list 110 permit icmp 212．78．170．0 255．255．255．224 any Router(config)#access—list 110 permit ip any any Router(config)#access—list 110 deny icmp any any
C、 Router(config)#access—list 110 permit icmp 212．78．170．0 0．0．0．255 any Router(config)#access—list 110 deny icmp any any Router(config)#access—list 110 permit ip any any
D、 Router(config)#access—list 110 permit icmp 212．78．170．160 0．0．0．31 any Router(config)#access—list 110 deny icmp any any Router(eonfig)#access—list 110 permit ip any any

【正确答案】 D

【答案解析】在全局配置模式下，配置扩展访问控制列表的命令格式为：access—list access—list—number{permit ｜dery｜protocol SOUrce wildcard—mask destination wild—card-mask[operator][operand]在配置访问控制列表的源地址或目的地址时，在允许或拒绝的IP地址后面有一个参数是wildcard—mask一通配符(或通配符掩码)。通配符用32位二进制数表示，表示形式与IP地址和子网掩码相同。wildcard．mask实际上就是子网掩码的反码，如IP地址202．112．66．1，其掩码是255．255．255．0，那么它的通配符掩码应该为0．0．0．255，并与IP地址总是成对出现。通配符的作用是指出访问控制列表过滤的IP地址范围，也就是路由器在进行基于源IP地址和目的IP地址过滤时，通配符告诉路由器应该检查哪些地址位，忽略哪些地址位。通配符为 “0”，表示检查相应的地址位；通配符为“1”表示忽略，不检查相应的地址位。本题中的子网掩码为255．255．255．224，则访问控制列表的通配符为0．0．0．31。因此选择D选项。