CIDR-Aggregator

Aggregieren Sie mehrere CIDR-Bloecke zu zusammengefassten Routen

Input CIDRs

Aggregated Output

Aggregated results will appear here

Der CIDR Aggregator fasst mehrere CIDR-Blöcke zu einer minimalen Menge zusammengefasster Routen zusammen, die denselben Adressraum abdecken. Geben Sie eine Liste wie 192.168.0.0/24 und 192.168.1.0/24 ein, um ein einzelnes 192.168.0.0/23 zu erhalten, oder fügen Sie Hunderte von Blöcken ein, um zu sehen, wie stark Ihre Routing-Tabelle oder Ihr Firewall-Regelwerk durch Route-Summarization (Supernetting) reduziert werden kann.

Grundlagen der Route-Aggregation

Wenn Sie Router, Firewalls oder Cloud-Netzwerke verwalten, werden Sie unweigerlich auf das Problem zu vieler Routen oder zu vieler Regeln stoßen. Ein Router mit 10.000 Routen in seiner Tabelle verbraucht mehr Speicher und benötigt länger für Lookups als einer mit 500 Routen, die denselben Adressraum abdecken. Eine Firewall mit 2.000 ACL-Einträgen ist schwieriger zu auditieren und langsamer zu verarbeiten als eine mit 200 Einträgen, die dieselbe Abdeckung bieten. Route-Aggregation -- auch Supernetting oder Summarization genannt -- ist die Technik, kleinere, benachbarte CIDR-Blöcke zu größeren zusammenzufassen, um diese Anzahlen zu reduzieren.

Die Grundidee ist einfach. Wenn Sie zwei /24-Blöcke haben, die numerisch benachbart sind und dasselbe übergeordnete Präfix teilen, können sie zu einem einzelnen /23 zusammengeführt werden. Wenn dieses /23 neben einem weiteren /23 mit demselben übergeordneten Präfix liegt, werden diese zu einem /22 zusammengeführt, und so weiter. Der Aggregator übernimmt dieses iterative Zusammenführen automatisch, findet jede mögliche Kombination in Ihrer Eingabeliste und erzeugt die absolut minimale Anzahl von CIDR-Blöcken, die denselben gesamten Adressraum abdecken.

Dies ist nicht nur eine theoretische Optimierung. Bei BGP verlangen Upstream-Provider oft, dass Sie aggregierte Präfixe statt einzelner /24-Blöcke ankündigen, um die globale Routing-Tabelle handhabbar zu halten. In Cloud-Umgebungen haben AWS Security Groups und Azure NSGs feste Grenzen für die Anzahl erstellbarer Regeln, sodass die Aggregation Ihrer Allowlists und Blocklists die Adressen maximiert, die Sie innerhalb dieser Grenzen abdecken können. Sogar für die Dokumentation ist eine saubere Liste aggregierter Blöcke einfacher zu überprüfen und zu pflegen als eine ausufernde Sammlung überlappender Einträge, die sich über Jahre angesammelt hat.

So aggregieren Sie CIDR-Blöcke

Geben Sie eine Liste von CIDR-Blöcken ein, einen pro Zeile oder kommagetrennt (z. B. 192.168.0.0/24, 192.168.1.0/24)
Das Tool identifiziert benachbarte und überlappende Blöcke, die zusammengeführt werden können
Es iteriert, bis keine weiteren Kombinationen möglich sind
Überprüfen Sie die aggregierte Ausgabe mit der minimalen Menge an CIDR-Blöcken und den Reduktionsstatistiken

Beispiele für CIDR-Aggregation

Benachbarte Blöcke

Eingabe:                    Ausgabe:
192.168.0.0/24      -->     192.168.0.0/23
192.168.1.0/24

Zwei benachbarte /24-Blöcke werden zu einem einzelnen /23 zusammengefasst.

Mehrere benachbarte Blöcke

Eingabe:                    Ausgabe:
10.0.0.0/24         -->     10.0.0.0/22
10.0.1.0/24
10.0.2.0/24
10.0.3.0/24

Vier zusammenhängende /24-Blöcke werden zu einem /22 aggregiert.

Überlappende Blöcke

Eingabe:                    Ausgabe:
192.168.0.0/24      -->     192.168.0.0/24
192.168.0.128/25

Der /25 ist bereits im /24 enthalten und wird daher als redundant entfernt.

Gemischte Aggregation

Eingabe:                    Ausgabe:
10.1.0.0/24         -->     10.1.0.0/23
10.1.1.0/24                 10.1.4.0/24
10.1.4.0/24
172.16.0.0/16               172.16.0.0/16

Benachbarte Blöcke werden wo möglich aggregiert. Nicht benachbarte Blöcke und Blöcke aus verschiedenen Bereichen bleiben separat.

Wann den CIDR Aggregator verwenden

Routing-Tabellen-Optimierung -- Anzahl der Routen in Routern und Switches reduzieren, um Speicher zu sparen und die Lookup-Leistung zu verbessern
BGP-Ankündigungsreduktion -- Upstream-Provider verlangen oft aggregierte Ankündigungen; kleinere Routing-Tabellen nützen dem globalen Internet
Vereinfachung von Firewall-Regeln -- Weniger Regeln sind einfacher zu auditieren, zu pflegen und werden bei der Paketinspektion schneller verarbeitet
Cloud Security Groups -- AWS Security Groups und Azure NSGs haben Regelgrenzen; Aggregation maximiert die Einträge innerhalb dieser Grenzen
Bereinigung der Dokumentation -- Ausufernde Netzwerkzuweisungen in saubere, zusammengefasste Blöcke konsolidieren
Migrationsvorbereitung -- Vor der Migration von Firewall-Regeln zwischen Plattformen aggregieren, um die Gesamtanzahl der Regeln zu reduzieren

Funktionsweise der Route-Aggregation (Supernetting)

CIDR-Aggregation ist die Umkehrung von Subnetting. Zwei CIDR-Blöcke können nur dann zusammengeführt werden, wenn:

Sie die gleiche Präfixlänge haben (z. B. beide sind /24)
Sie numerisch benachbart sind (der zweite Block beginnt genau dort, wo der erste endet)
Sie dasselbe übergeordnete Präfix um ein Bit kürzer teilen (z. B. beide /24-Blöcke fallen in dasselbe /23)

Beispiel für binäre Ausrichtung

192.168.0.0/24  = 11000000.10101000.00000000.xxxxxxxx
192.168.1.0/24  = 11000000.10101000.00000001.xxxxxxxx
                                     ^
                  Nur Bit 24 unterscheidet sich, daher Zusammenführung zu /23:
192.168.0.0/23  = 11000000.10101000.0000000x.xxxxxxxx

Der Aggregator wiederholt diesen Prozess iterativ. Nach dem Zusammenführen zweier /24-Blöcke zu einem /23 prüft er, ob sich dieses /23 mit einem benachbarten /23 zu einem /22 zusammenführen lässt, und so weiter.

Warum einige Blöcke nicht aggregiert werden können

Nicht alle benachbarten Blöcke können zusammengeführt werden. 192.168.1.0/24 und 192.168.2.0/24 sind numerisch benachbart, können aber kein gültiges /23 bilden, da 192.168.1.0 die obere Hälfte von 192.168.0.0/23 ist, während 192.168.2.0 die untere Hälfte von 192.168.2.0/23 ist. Sie gehören zu verschiedenen übergeordneten /23-Blöcken, sodass die Anforderung der binären Ausrichtung nicht erfüllt ist.

Umgang mit überlappenden Eingaben

Wenn ein CIDR-Block einen anderen vollständig enthält, ist der enthaltene Block redundant. Wenn Ihre Eingabe beispielsweise sowohl 10.0.0.0/8 als auch 10.1.2.0/24 enthält, liegt der /24 vollständig innerhalb des /8 und wird entfernt. Diese Deduplizierung erfolgt vor der Aggregation.

Best Practices für die Aggregation

Die größten Gewinne durch Aggregation ergeben sich, wenn Ihre Eingabeliste im Laufe der Zeit organisch gewachsen ist. Firewall-Regeln sammeln sich an, wenn verschiedene Administratoren Einträge für neue Projekte hinzufügen und niemand zurückgeht, um aufzuräumen. Sie stellen möglicherweise fest, dass ein Dutzend separate /24-Allow-Regeln für 10.0.0.0/24 bis 10.0.11.0/24 als nur drei aggregierte Blöcke ausgedrückt werden könnten. Es ist eine gute Wartungspraxis, Ihr gesamtes Regelwerk regelmäßig durch einen Aggregator laufen zu lassen.

Beachten Sie, dass die Aggregation nur Blöcke kombiniert, die wirklich benachbart sind und dasselbe übergeordnete Präfix teilen. Wenn Sie nicht benachbarte Blöcke in ein einzelnes abdeckendes CIDR kombinieren müssen, ist das eine andere Operation (Supernetting), die möglicherweise zusätzliche Adressen zwischen den Blöcken einschließt. Der Aggregator schließt niemals Adressen ein, die nicht in Ihrer ursprünglichen Eingabe enthalten waren. Dies macht ihn sicher für die Verwendung bei Firewall-Regeln und Sicherheitsrichtlinien -- die aggregierte Ausgabe deckt genau dieselben Adressen wie die ursprüngliche Liste ab.

Bei der Vorbereitung von BGP-Ankündigungen denken Sie daran, dass viele Upstream-Provider Ankündigungen spezifischer als /24 für IPv4 filtern. Wenn Ihre aggregierte Ausgabe immer noch Blöcke kleiner als /24 enthält, müssen Sie Ihre Ankündigungen möglicherweise auf /24-Grenzen erweitern, was ein manueller Schritt ist, der ein Verständnis Ihrer tatsächlichen Adresszuweisungen erfordert.

Häufig gestellte Fragen

Was ist der Unterschied zwischen CIDR-Aggregation und Route-Summarization?

Es handelt sich um dieselbe Operation. „Aggregation" und „Summarization" (oder „Supernetting") sind austauschbare Begriffe. Alle drei beziehen sich auf das Zusammenfassen mehrerer spezifischer Präfixe zu weniger, weniger spezifischen Präfixen, die denselben Adressraum abdecken.

Ändert die Aggregation, welche Adressen abgedeckt werden?

Nein. Der Aggregator führt nur benachbarte oder überlappende Blöcke zusammen. Er füllt niemals Lücken zwischen nicht zusammenhängenden Bereichen. Die aggregierte Ausgabe deckt genau dieselbe Menge von Adressen wie die ursprüngliche Eingabe ab.

Welche Reduktion kann ich erwarten?

Die Reduktion hängt von Ihrer Eingabe ab. Ein perfekt zusammenhängendes Set von 256 /24-Blöcken, die alle innerhalb desselben /16 liegen, würde zu einem einzelnen /16 aggregiert -- eine 256:1-Reduktion. Zufällige, verstreute Blöcke können wenig oder keine Reduktion erfahren, wenn keine zwei Blöcke benachbart sind.

Kann ich Blöcke mit unterschiedlichen Präfixlängen aggregieren?

Der Aggregationsalgorithmus dedupliziert zunächst überlappende Blöcke und führt dann gleichlange benachbarte Paare zusammen. Verschiedene Präfixlängen können nur zusammengeführt werden, wenn einer den anderen enthält (in diesem Fall wird der kleinere eliminiert) oder wenn Zwischenaggregationsschritte gleichlange Blöcke erzeugen, die für weiteres Zusammenführen in Frage kommen.

Funktioniert die Aggregation mit IPv6?

Ja. Dieselben binären Zusammenführungsregeln gelten für IPv6-CIDR-Blöcke mit 128-Bit-Adressen. Die Präfixlängen sind größer, aber die Anforderungen an Nachbarschaft und übergeordnetes Präfix sind identisch.