某设备的ACL语法使用通配符掩码，其中0表示对应位必须匹配，1表示忽略。若要匹配整个192.168.16.0/20网段，网络地址后应使用的通配符掩码是（）。
/20的子网掩码是255.255.240.0。通配符掩码逐位取反，得到0.0.15.255。第三个字节可变化的低4位对应十进制15，因此该规则覆盖192.168.16.0至192.168.31.255。
选项分析
错误。这是/20对应的子网掩码，不是题设ACL使用的通配符掩码。
错误。0.0.0.15只允许最后一个字节低4位变化，更接近匹配一个/28范围。
正确。255.255.240.0逐位取反为0.0.15.255。
错误。0.0.31.255允许第三字节低5位变化，对应范围更大，接近/19。
本题为什么容易错
通配符掩码和子网掩码长得很像，含义却相反。ACL题若不先看设备命令要求哪一种掩码，很容易把255.255.240.0直接抄上去。
简短答案
192.168.16.0/20 的 ACL 通配符掩码怎么计算，正确答案是 C（0.0.15.255）。/20的子网掩码是255.255.240.0。通配符掩码逐位取反，得到0.0.15.255。第三个字节可变化的低4位对应十进制15，因此该规则覆盖192.168.16.0至192.168.31.255。
易混淆概念对比表
| 概念 | 本题判断 | 区别要点 | 记忆提示 |
|---|---|---|---|
| 255.255.240.0 | 本题干扰项 | 错误。这是/20对应的子网掩码，不是题设ACL使用的通配符掩码。 | 看到该词不要急着选，先判断是否真正解决题干问题 |
| 0.0.0.15 | 本题干扰项 | 错误。0.0.0.15只允许最后一个字节低4位变化，更接近匹配一个/28范围。 | 看到该词不要急着选，先判断是否真正解决题干问题 |
| 0.0.15.255 | 本题正确答案 | 正确。255.255.240.0逐位取反为0.0.15.255。 | 看到题干核心场景时优先联想到它 |
| 0.0.31.255 | 本题干扰项 | 错误。0.0.31.255允许第三字节低5位变化，对应范围更大，接近/19。 | 看到该词不要急着选，先判断是否真正解决题干问题 |
本题易混淆选项怎么区分
- 255.255.240.0：错误。这是/20对应的子网掩码，不是题设ACL使用的通配符掩码。
- 0.0.0.15：错误。0.0.0.15只允许最后一个字节低4位变化，更接近匹配一个/28范围。
- 0.0.31.255：错误。0.0.31.255允许第三字节低5位变化，对应范围更大，接近/19。
知识点详解
通配符掩码常见于部分网络设备的ACL和路由配置语法。按题设规则，某位为0表示地址对应位必须与基准地址一致，为1表示该位不参与匹配。对连续子网范围，通配符掩码通常是子网掩码的逐位反码。/20保留20位网络位，第三字节高4位固定、低4位可变，因此从192.168.16.0覆盖到192.168.31.255。真实配置还应核对厂商语法和ACL应用方向。
备考速记
子网掩码1管固定，通配符掩码0管固定；连续范围可以逐位取反。
ACL 在子网划分场景中的作用
ACL在本题中的核心价值，是解决“某设备的ACL语法使用通配符掩码，其中0表示对应位必须匹配，1表示忽略。若要匹配整个192.168.16.0/20网段，网络地址后应使用的通配符掩码是（）”这个场景问题。复习时不要只背选项名称，还要理解它为什么适用于该场景，以及它能解决哪类安全、流程或管理问题。
同类题怎么考
- 根据CIDR前缀计算ACL通配符掩码。
- 根据通配符判断规则实际覆盖的地址范围。
- 结合ACL自上而下匹配顺序判断某个报文是否被允许。
ACL 在网络工程师软考中的考法
软考选择题通常不会只考概念定义，还会把ACL放到子网划分场景中，要求判断它的作用、适用范围或与相近概念的区别。遇到这类题时，先抓住题干中的业务场景，再看哪个选项最能解决该场景下的核心问题。
解题思路
先把/20写成255.255.240.0，再逐字节用255相减：0.0.15.255。老师还会要求做一次范围检查：第三字节从16开始，允许低4位变化，所以能走到31，正好是/20的16个连续C类网段。
考点定位
标准连续通配符可用255.255.255.255减去子网掩码。别把子网掩码原样写进要求通配符的ACL语法；还要用地址范围回算一次。
易错提醒
- 把0理解成忽略、1理解成必须匹配，恰好记反。
- 只会做255相减，没有检查给定网络地址是否落在正确边界。
- 看到0.0.15.255就误以为只能匹配15个地址，忽略二进制4位可产生16种取值。
备考提示
- 连续掩码先写子网掩码，再逐字节用255相减；最后核对起止地址。
- ACL还要结合方向、接口、规则顺序和隐含拒绝一起判断，不能只会算掩码。
你可能还想了解
- 通配符掩码0和1分别表示什么？
- /20为什么对应0.0.15.255？
- 0.0.31.255对应多大网段？
- ACL规则为什么还要看配置顺序？
本文小结
/20子网掩码为255.255.240.0，逐位取反得到ACL通配符0.0.15.255，可覆盖192.168.16.0至192.168.31.255。