CIDR Ausschluss-Tool

Das CIDR Exclusion Tool subtrahiert einen oder mehrere Ausnahme-CIDR-Blöcke von einem übergeordneten CIDR-Bereich und gibt die minimale Menge an CIDR-Blöcken zurück, die den verbleibenden Adressraum abdecken. Geben Sie einen übergeordneten Block wie 10.0.0.0/8 und Ausnahmen wie 10.100.0.0/16, 10.200.0.0/16 ein, um den genauen Satz von CIDRs zu erhalten, die den verbleibenden Raum ohne die herausgeschnittenen Bereiche abdecken.

Grundlagen von CIDR-Ausschlüssen

Wenn Sie Firewalls, Routing-Richtlinien oder Cloud Security Groups verwalten, werden Sie irgendwann eine Regel formulieren müssen, die besagt: „Erlaube diesen gesamten Bereich, außer diese bestimmten Subnetze." Das Konzept ist einfach, aber die Mathematik ist es nicht. Sie können nicht einfach „10.0.0.0/8 minus 10.100.0.0/16" in eine Firewall-Regel schreiben -- Sie müssen den verbleibenden Raum als Liste gültiger CIDR-Blöcke ausdrücken, die Ihr Gerät tatsächlich versteht. Genau das leistet der CIDR-Ausschluss: Er führt die Mengendifferenz-Operation durch und übergibt Ihnen das Ergebnis in einem Format, das Sie direkt in eine Konfiguration einfügen können.

Der Grund, warum dies schwieriger ist als es aussieht, liegt in der Funktionsweise der CIDR-Notation. Jeder CIDR-Block muss ein zusammenhängender Bereich von Adressen sein, dessen Größe eine Zweierpotenz ist und der an einer ausgerichteten Grenze beginnt. Wenn Sie ein Loch in einen größeren Block stanzen, passt der verbleibende Raum selten sauber zu diesen Einschränkungen. Das Ausschließen von 10.100.0.0/16 aus 10.0.0.0/8 erzeugt acht separate CIDR-Blöcke verschiedener Größen, weil die Ausschlussgrenze an der 100. Position im zweiten Oktett Aufteilungen auf mehreren Ebenen des binären Adressbaums erzwingt. Dies von Hand zu tun ist mühsam und fehleranfällig, besonders wenn Sie mehrere Ausschlüsse an verschiedenen Positionen innerhalb des übergeordneten Blocks haben.

Dieses Tool übernimmt die gesamte Komplexität automatisch. Sie geben den übergeordneten Block und die Liste der Ausschlüsse an, und es gibt die mathematisch minimale Menge von CIDRs zurück, die den verbleibenden Raum abdecken. Ob Sie eine DMZ aus einer unternehmensweiten Allow-Regel herausschneiden, einen Block innerhalb einer größeren Zuweisung für die zukünftige Nutzung reservieren oder BGP-Ankündigungen mit zurückgezogenen delegierten Sub-Blöcken erstellen -- die Ausgabe liefert Ihnen genau das, was Sie für Ihre Gerätekonfiguration benötigen.

So subtrahieren Sie CIDR-Blöcke von einem übergeordneten Bereich

1. Geben Sie den übergeordneten CIDR-Block ein (z. B. 10.0.0.0/8)
2. Geben Sie einen oder mehrere Ausschluss-CIDRs ein, einen pro Zeile oder kommagetrennt (z. B. 10.100.0.0/16, 10.200.0.0/16)
3. Klicken Sie auf Berechnen, um die minimale Menge der verbleibenden CIDR-Blöcke zu erhalten
4. Überprüfen Sie die Ausgabeliste mit jedem resultierenden Block und seiner Adressanzahl
5. Kopieren Sie die Ergebnisse zur Verwendung in Firewall-Regeln, ACLs oder Routing-Konfigurationen

Beispiele für CIDR-Ausschlüsse

Ein einzelnes /16 aus einem /8 ausschließen

Zwei Subnetze aus einem /16 ausschließen

Ein /28 aus einem /24 ausschließen

Wann das CIDR Exclusion Tool verwenden

• Firewall-Allow-Regeln mit Ausnahmen -- Datenverkehr von 10.0.0.0/8 erlauben, aber die DMZ bei 10.100.0.0/16 blockieren
• IP-Adresszuweisung -- Ein /24 innerhalb eines größeren Blocks für einen bestimmten Zweck reservieren und den Rest zuweisen
• Cloud Security Groups -- Regeln erstellen, die einen VPC-CIDR-Bereich abzüglich bestimmter privater Subnetze abdecken
• BGP-Ankündigungen -- Ein großes Präfix ankündigen, während ein spezifischerer Block, der anderswohin delegiert wurde, zurückgezogen wird
• Compliance-Ausnahmen -- Regulierte Subnetze aus allgemeinen Zugriffsrichtlinien ausschließen
• Multi-Tenant-Umgebungen -- „Gesamter Kundenraum außer Tenant X" in gemeinsam genutzten Infrastrukturregeln ausdrücken

Funktionsweise der CIDR-Ausschluss-Arithmetik

CIDR-Ausschluss ist grundsätzlich eine Mengendifferenz-Operation auf dem IP-Adressraum. Der Algorithmus funktioniert folgendermaßen:

Schritt 1: Binäre Ausrichtung

Jeder CIDR-Block bildet sich auf einen zusammenhängenden Bereich von Adressen ab, der an einer Zweierpotenzen-Grenze ausgerichtet ist. Der übergeordnete Block 10.0.0.0/8 deckt die Adressen 10.0.0.0 bis 10.255.255.255 (16.777.216 Adressen) ab.

Schritt 2: Rekursive Aufteilung

Wenn ein Ausschluss innerhalb des übergeordneten Blocks liegt, muss der übergeordnete Block in Teilblöcke aufgeteilt werden, die um das Loch herum verlegt werden. Der Algorithmus halbiert den übergeordneten Block rekursiv entlang der CIDR-Grenzen, bis jeder resultierende Block entweder vollständig außerhalb des Ausschlusses oder vollständig innerhalb davon liegt (und verworfen wird).

Übergeordnet:  10.0.0.0/8
               |===============================|
Ausschluss:    10.100.0.0/16
               |         |XX|                  |
Aufteilung:    |/9 |/10|/14|/16|/15|/13|/12|/9|

Schritt 3: Minimale Rekombination

Benachbarte Blöcke mit derselben Präfixlänge, die einen gemeinsamen übergeordneten Block teilen, werden rekombiniert. Dies stellt sicher, dass die Ausgabe die mathematisch minimale Menge von CIDRs ist, die den verbleibenden Raum darstellt.

Warum das Ergebnis viele Blöcke hat

Das Ausschließen eines Bereichs, der nicht mit den binären Grenzen des übergeordneten Blocks übereinstimmt, erzeugt viele kleine CIDRs. Zum Beispiel ergibt das Ausschließen von 10.100.0.0/16 aus 10.0.0.0/8 8 Blöcke, weil das Loch an Position 100 Aufteilungen auf mehreren Ebenen des Binärbaums erzwingt. Ein Loch an einer natürlicheren Grenze (wie 10.128.0.0/9) würde weniger Blöcke erzeugen, weil die Aufteilung mit der binären Struktur übereinstimmt.

Praktische Tipps für CIDR-Ausschlüsse

Der häufigste Fehler bei der Arbeit mit Ausschlüssen ist das Vergessen zu überprüfen, ob Ihre Ausschluss-CIDRs tatsächlich im übergeordneten Block enthalten sind. Wenn ein Ausschluss die übergeordnete Grenze teilweise überlappt, behandelt das Tool dies korrekt, indem es nur den überlappenden Teil subtrahiert, aber das Ergebnis entspricht möglicherweise nicht Ihren Erwartungen. Überprüfen Sie immer, ob Ihre Ausschlussbereiche im Verhältnis zum übergeordneten Block sinnvoll sind, bevor Sie die resultierenden Regeln bereitstellen.

Beim Erstellen von Firewall-Regeln aus Ausschlussergebnissen beachten Sie, dass die Reihenfolge der Regeln auf den meisten Geräten eine Rolle spielt. Wenn Ihre Firewall Regeln von oben nach unten verarbeitet, möchten Sie in der Regel die Deny-Regeln für die ausgeschlossenen Bereiche vor der breiteren Allow-Regel platzieren. Wenn Sie die Ausschlussausgabe jedoch als Allow-Liste selbst verwenden (mit einem impliziten Deny-All), spielt die Reihenfolge innerhalb der Allow-Menge keine Rolle, da die ausgeschlossenen Adressen einfach nicht in der Liste enthalten sind.

Ein weiterer Aspekt sind Regelanzahlgrenzen. Einige Plattformen, insbesondere Cloud Security Groups, begrenzen die Anzahl der Regeln pro Gruppe. Ein Ausschluss, der 15 Ergebnisblöcke erzeugt, bedeutet 15 Regeln. Wenn Sie sich Ihrem Limit nähern, überlegen Sie, ob Sie den übergeordneten Block in kleinere Blöcke umstrukturieren können, bei denen Ausschlüsse weniger Fragmente erzeugen, oder ob die Plattform IP-Sets oder Präfixlisten unterstützt, die die Komplexität außerhalb der Regeltabelle behandeln.

Häufig gestellte Fragen

Kann ich mehrere nicht zusammenhängende CIDRs gleichzeitig ausschließen?

Ja. Geben Sie alle Ausschluss-CIDRs durch Kommas oder Zeilenumbrüche getrennt ein. Das Tool verarbeitet sie alle gleichzeitig und gibt die einzelne minimale Menge von Blöcken zurück, die den verbleibenden Raum abdecken. Die Reihenfolge der Ausschlüsse hat keinen Einfluss auf das Ergebnis.

Was passiert, wenn ein Ausschluss größer als oder gleich dem übergeordneten Block ist?

Wenn ein Ausschluss den übergeordneten CIDR vollständig abdeckt, ist das Ergebnis eine leere Menge -- es gibt keinen verbleibenden Adressraum. Wenn der Ausschluss über die Grenzen des übergeordneten Blocks hinausgeht, wird nur der überlappende Teil subtrahiert.

Funktioniert dies mit IPv6?

Ja. Das Tool verarbeitet sowohl IPv4- als auch IPv6-CIDR-Blöcke. IPv6-Ausschlüsse folgen demselben binären Aufteilungsalgorithmus, arbeiten jedoch mit 128-Bit-Adressen. Zum Beispiel erzeugt das Ausschließen von 2001:db8:1::/48 aus 2001:db8::/32 die erwartete Menge von verbleibenden /48-, /47-, /46-Blöcken usw.

Wie unterscheidet sich dies vom Range-Difference-Tool?

Das CIDR Exclusion Tool nimmt CIDR-Notation als Ein- und Ausgabe und ist für die Verwendung in Firewall-Regeln und Routing-Konfigurationen optimiert. Das Range Difference-Tool arbeitet mit beliebigen IP-Bereichen (Start-Ende-Notation), die möglicherweise nicht an CIDR-Grenzen ausgerichtet sind. Verwenden Sie den CIDR-Ausschluss, wenn Ihre Ein- und Ausgaben CIDR-Blöcke sind.

Kann ich Ausschlüsse verschachteln -- aus einem bereits ausgeschlossenen Ergebnis ausschließen?

Ja. Nehmen Sie die Ausgabe einer Ausschlussoperation und verwenden Sie sie als Eingabe für eine weitere. Es ist jedoch einfacher, alle Ausschlüsse auf einmal in einer einzelnen Operation aufzulisten. Das Tool verarbeitet mehrere gleichzeitige Ausschlüsse korrekt, und das Ergebnis ist dasselbe wie bei sequenzieller Anwendung.

Wie viele Ergebnisblöcke sollte ich erwarten?

Die Anzahl der Ergebnisblöcke hängt davon ab, wo der Ausschluss relativ zur binären Struktur des übergeordneten Blocks liegt. Ausschlüsse an natürlichen Zweierpotenzen-Grenzen erzeugen weniger Blöcke. Im schlimmsten Fall erzeugt das Ausschließen eines einzelnen /32 aus einem /0 32 Blöcke (einen für jede Bitposition). In der Praxis erzeugen die meisten Ausschlüsse zwischen 4 und 15 Ergebnisblöcke.

Verwandte Tools

• Range Difference - A minus B für beliebige IP-Bereiche berechnen
• CIDR Gap Finder - Nicht zugewiesene Lücken innerhalb eines übergeordneten CIDR finden
• CIDR Aggregator - Mehrere CIDR-Blöcke zu zusammengefassten Routen aggregieren
• CIDR List Minimal Non-overlapping Set - Eine CIDR-Liste in minimale nicht-überlappende Blöcke konvertieren
• Minimal Merge Tool - Alle zusammenführbaren CIDR-Blöcke in einer Liste zusammenführen