什麼是不連續子網路遮罩？

傳統子網路遮罩為連續 1 後接連續 0（如 255.255.255.0）。不連續遮罩中 1 與 0 交錯（如 255.255.0.15 → 二進位 11111111.11111111.00000000.00001111），較少見但能解決特定匹配需求。

實戰場景：依 IP 最後兩位決定出口閘道

需求：同一網段 172.16.x.x 下，依主機 IP 最後兩位分流至三個不同閘道：

• xx.xx.xx.00 → Router (172.16.0.1)
• xx.xx.xx.01 → ISA Server (172.16.0.2)
• xx.xx.xx.11 → Linux Proxy (172.16.0.3)

解決方案：不連續反向遮罩 + ACL + PBR

步驟 1：定義三條 ACL（使用 wildcard mask 0.0.255.252）

access-list 10 permit 172.16.0.0 0.0.255.252   ! 最後兩位 00 → Router
access-list 11 permit 172.16.0.1 0.0.255.252   ! 最後兩位 01 → ISA
access-list 12 permit 172.16.0.3 0.0.255.252   ! 最後兩位 11 → Linux

原理： Wildcard 0.0.255.252 = 二進位 00000000.00000000.11111111.11111100，表示「前 22 位必須匹配，最後兩位為變數」。配合基底 IP 最後兩位（00/01/11），精準匹配目標主機群。

步驟 2：建立路由策略 (Route-map) 對應下一跳

route-map rm-select-gw permit 10
 match ip address 10
 set ip next-hop 172.16.0.1
!
route-map rm-select-gw permit 20
 match ip address 11
 set ip next-hop 172.16.0.2
!
route-map rm-select-gw permit 30
 match ip address 12
 set ip next-hop 172.16.0.3

步驟 3：將策略套用至 SVI (VLAN 介面)

interface Vlan1
 ip address 172.16.0.254 255.255.255.0
 ip policy route-map rm-select-gw

優缺點與注意事項

• 優點： 無需變更主機 IP/遮罩，透過網路層策略即時生效，彈性高。
• 缺點： 不連續遮罩較難閱讀維護，部分舊設備/軟體不支援；PBR 增加 CPU 負載。
• 適用場景： 多出口負載分流、特定應用導向特定閘道、臨時測試/遷移期間。
• 建議： 完整文件化遮罩邏輯，配合測試驗證後再上線；長期架構仍建議規劃連續子網與標準路由協定。

結語

不連續子網路遮罩是進階網管工具箱中的「特種兵」。善用它能在不改動主機端的前提下，靈活實現基於 IP 位址特徵的流量導向，解決常規方法難以處理的非常規需求。