`deny 192.168.1.0 0.0.0.255`表示拒绝整个192.168.1.0/24子网的流量，其中`0.0.0.255`是通配符掩码。