1) В данном механизме реализовано следующее правило анализа имени ресурса при запросе к нему доступа – приоритет отдается разграничениям, заданным для наиболее полного определения имени ресурса (например, если указаны разграничения для имени 192.168.0.3 и для маски 192.168.0.* (маска покрывает данное имя), то при запросе доступа к ресурсу по имени 192.168.0.3 вступят в силу разграничения, заданные для ресурса, определяемого именем 192.168.0.3).

2) Приоритет выбирается слева направо ip1.ip2.ip3.ip4/remote_port/local_port.

Если есть полное совпадение какого-то элемента, то используется это правило.
Если точного совпадения нет, то используется значение *

Например:

Правило
192.168.0.1/*/*
более приоритетно (так как указывает полный адрес) чем:
192.168.*.*/*/*
192.168.*.*/999/*
192.168.*.*/*/999
192.168.*.*/999/999

Правило
192.168.*.*/999/999
более приоритетно (так как указывает удаленный порт и локальный порт) чем:
192.168.*.*/*/*
192.168.*.*/*/999
192.168.*.*/999/*