permit 10.0.0.0 255.255.255.0
permit 172.16.0.0 255.255.255.0
の二行があったとして、9割のパケットが下に、1割が上にマッチするとする。
上にマッチするパケットは1行だけ、下にマッチするパケットは毎回2行チェックするのね。
なら多くマッチするものを可能なかぎり上に持ってきた方が処理量がへるでしょ。