Minimales Merge-Tool

Das Minimale Zusammenfuehrungstool verarbeitet eine Liste von CIDR-Bloecken und fuehrt iterativ alle benachbarten, gleichgrossen Paare zu groesseren Bloecken zusammen, bis keine weiteren Zusammenfuehrungen mehr moeglich sind. Fuegen Sie eine Liste wie 192.168.1.0/26, 192.168.1.64/26, 192.168.1.128/26, 192.168.1.192/26 ein und erhalten Sie 192.168.1.0/24 zurueck -- den kleinstmoeglichen Satz von CIDR-Bloecken, der exakt denselben Adressraum repraesentiert.

CIDR-Zusammenfuehrung verstehen

Im Laufe der Zeit sammeln Netzwerkkonfigurationen CIDR-Eintraege an, so wie eine Codebasis technische Schulden ansammelt. Ein Firewall-Regelwerk, das mit einer sauberen /16-Erlaubnisregel begann, bekommt einzelne /24-Eintraege als Ausnahmen oder Ergaenzungen hinzugefuegt. Eine BGP-Praefixliste, die urspruenglich ein einzelnes Aggregat ankuendigte, erhaelt spezifischere Routen, wenn sich Peering-Vereinbarungen aendern. Bevor man sich versieht, hat man Dutzende von Eintraegen, die mit einer Handvoll Bloecken ausdrueckbar waeren, aber niemand hat sich die Zeit genommen, sie aufzuraeumen.

CIDR-Zusammenfuehrung ist die Bereinigungsoperation. Sie nimmt eine Liste von CIDR-Bloecken und findet jedes Paar, das zu einem groesseren Block kombiniert werden kann, und wiederholt den Vorgang, bis keine Kombinationen mehr moeglich sind. Das Ergebnis deckt exakt denselben Adressraum ab wie die Eingabe -- keine Adressen hinzugefuegt, keine Adressen entfernt -- aber mit weniger Eintraegen. In einer Routing-Tabelle bedeuten weniger Eintraege schnellere Lookups und geringerer Speicherverbrauch. In einer Firewall bedeuten weniger Regeln schnellere Paketverarbeitung und einfachere Pruefung. In einer Cloud-Sicherheitsgruppe bedeuten weniger Eintraege, dass man innerhalb der Plattform-Regellimits bleibt, ohne Erhoehungen beantragen zu muessen.

Die Zusammenfuehrungsregeln sind strikt. Zwei Bloecke koennen nur zusammengefuehrt werden, wenn sie alle drei Bedingungen erfuellen: gleiche Praefixlaenge, benachbart im Adressraum (keine Luecke) und korrekt auf der Grenze des resultierenden groesseren Blocks ausgerichtet. Dies sind die "Geschwisterpaar"-Regeln des CIDR-Binaerbaums. Das Tool wendet diese Regeln iterativ an, da ein einzelner Durchlauf nicht ausreicht -- wenn zwei /26-Bloecke zu einem /25 zusammengefuehrt werden, koennte dieses neue /25 mit einem anderen /25 zusammenfuehrbar sein, das bereits in der Liste war, wodurch ein /24 entsteht, das erst nach der ersten Zusammenfuehrung sichtbar wird.

So fuehren Sie CIDR-Bloecke zum minimalen Satz zusammen

1. Fuegen Sie Ihre Liste von CIDR-Bloecken ein, einen pro Zeile oder kommagetrennt
2. Klicken Sie auf Zusammenfuehren, um den iterativen Zusammenfuehrungsprozess zu starten
3. Ueberpruefen Sie die optimierte Ausgabe, die den minimalen Satz von CIDR-Bloecken zeigt
4. Pruefen Sie das Zusammenfuehrungsprotokoll, um zu sehen, welche Bloecke in welcher Reihenfolge kombiniert wurden
5. Kopieren Sie das Ergebnis zur Verwendung in Ihrer Firewall-, Routing-Tabellen- oder Sicherheitsgruppen-Konfiguration

Beispiele fuer CIDR-Zusammenfuehrung

Vier /26-Bloecke werden zu einem einzigen /24 zusammengefuehrt

Eingabe:

192.168.1.0/26
192.168.1.64/26
192.168.1.128/26
192.168.1.192/26

Zusammenfuehrungs-Verlauf:

Ausgabe: 192.168.1.0/24 Reduktion: 4 Bloecke auf 1 reduziert (75% Reduktion)

Teilweise Zusammenfuehrung mit nicht zusammenfuehrbaren Bloecken

Eingabe:

10.0.0.0/24
10.0.1.0/24
10.0.2.0/24
10.0.5.0/24

Ausgabe:

10.0.0.0/23
10.0.2.0/24
10.0.5.0/24

Erklaerung: 10.0.0.0/24 und 10.0.1.0/24 werden zu 10.0.0.0/23 zusammengefuehrt. Die anderen beiden Bloecke koennen mit nichts zusammengefuehrt werden (es gibt eine Luecke zwischen 10.0.2.0/24 und 10.0.5.0/24, und 10.0.2.0/24 bildet kein ausgerichtetes Paar mit 10.0.0.0/23).

Optimierung grosser Listen

Eingabe: 16 aufeinanderfolgende /28-Bloecke von 172.16.0.0/28 bis 172.16.0.240/28

Ausgabe: 172.16.0.0/24 Reduktion: 16 Bloecke auf 1 (93,75% Reduktion)

Wann das Minimale Zusammenfuehrungstool verwenden

• Routing-Tabellen-Optimierung -- BGP-Ankuendigungszahlen reduzieren, indem benachbarte Praefixe zusammengefuehrt werden, die Ihr AS aussendet
• Firewall-Regel-Konsolidierung -- einzelne Erlauben/Verweigern-Eintraege kombinieren, die sich ueber Monate von Aenderungen angesammelt haben, zu minimalen Regeln
• Cloud-Sicherheitsgruppen-Bereinigung -- innerhalb der AWS/Azure/GCP-Sicherheitsgruppen-Regellimits bleiben, indem redundante CIDR-Eintraege zusammengefuehrt werden
• ACL-Wartung -- Zugriffskontrolllisten auf Routern und Switches nach Netzwerk-Reorganisation vereinfachen
• Bedrohungsintelligenz-Verarbeitung -- Blocklisten aus mehreren Quellen komprimieren, die ueberlappende oder benachbarte Eintraege enthalten
• Konfigurationsabweichungs-Bereinigung -- saubere Konfigurationen wiederherstellen, nachdem inkrementelle Aenderungen Redundanz eingefuehrt haben

Wie die iterative CIDR-Zusammenfuehrung funktioniert

Der Mehrfach-Durchlauf-Algorithmus

Der Zusammenfuehrungsalgorithmus kann nicht einfach einen einzelnen Durchlauf durch die Liste machen. Wenn zwei Bloecke zusammengefuehrt werden, koennte das Ergebnis mit einem anderen Block zusammenfuehrbar sein, der zuvor nicht benachbart war. Der Algorithmus verwendet mehrere Durchlaeufe:

1. Sortieren aller CIDR-Bloecke nach Netzwerkadresse und Praefixlaenge
2. Durchsuchen der sortierten Liste nach benachbarten Paaren mit gleicher Praefixlaenge, die ein gemeinsames Elternelement teilen (Geschwisterpaare im Binaerbaum)
3. Zusammenfuehren jedes qualifizierenden Paars in einen einzelnen Block mit um 1 reduzierter Praefixlaenge
4. Wiederholen ab Schritt 1 mit der neuen Liste, bis ein vollstaendiger Durchlauf keine Zusammenfuehrungen ergibt

Warum mehrere Durchlaeufe notwendig sind

Betrachten Sie 10.0.0.0/26, 10.0.0.64/26, 10.0.0.128/26, 10.0.0.192/26. In Durchlauf 1 werden die ersten beiden zu 10.0.0.0/25 und die letzten beiden zu 10.0.0.128/25 zusammengefuehrt. Diese beiden /25-Bloecke waren nicht in der urspruenglichen Liste, aber sie sind zu 10.0.0.0/24 zusammenfuehrbar. Ohne einen zweiten Durchlauf wuerde diese Optimierung uebersehen.

Gemischte Praefixlaengen

Wenn die Eingabe Bloecke unterschiedlicher Groesse enthaelt, koennen nur gleichgrosse Geschwister zusammengefuehrt werden. Ein /24 und ein /25 werden nie direkt zusammengefuehrt. Wenn jedoch zwei /25-Bloecke zu einem /24 zusammengefuehrt werden, koennte dieses neue /24 dann in einem nachfolgenden Durchlauf mit einem vorhandenen /24 zusammengefuehrt werden.

IPv4- und IPv6-Trennung

Das Tool verarbeitet IPv4- und IPv6-Bloecke unabhaengig voneinander. Ein IPv4-Block kann nie mit einem IPv6-Block zusammengefuehrt werden. Beide Adressfamilien werden separat optimiert, und die Ausgabe trennt sie klar.

Praktische Tipps fuer die CIDR-Listen-Optimierung

Bevor Sie das Zusammenfuehrungstool ausfuehren, pruefen Sie, ob Ihre Liste Duplikate oder enthaltene Bloecke aufweist. Obwohl das Tool Duplikate korrekt behandelt (sie werden vor der Zusammenfuehrung entfernt), hilft Ihnen die vorherige Bereinigung Ihrer Eingabe, die Daten besser zu verstehen. Wenn sowohl 10.0.0.0/16 als auch 10.0.1.0/24 in Ihrer Liste erscheinen, ist der /24 vollstaendig im /16 enthalten und fuegt keine Abdeckung hinzu. Der CIDR-Deduplizierer kann diese entfernen, bevor Sie zusammenfuehren.

Wenn Sie CIDR-Bloecke in einer Firewall oder ACL zusammenfuehren, testen Sie das Ergebnis immer in einer Staging-Umgebung, bevor Sie es in der Produktion bereitstellen. Obwohl die Zusammenfuehrung mathematisch die exakte Abdeckung bewahrt, kann das Verhalten Ihrer spezifischen Plattform in Grenzfaellen abweichen. Manche Firewalls behandeln die Netzwerk- und Broadcast-Adressen eines CIDR-Blocks unterschiedlich, und das Zusammenfuehren zweier Bloecke koennte aendern, wie diese Grenzadressen behandelt werden. Eine kurze Validierung gegen Ihre Testsuite faengt diese plattformspezifischen Probleme ab.

Bewahren Sie das Zusammenfuehrungsprotokoll aus der Tool-Ausgabe auf. Wenn ein Kollege fragt, warum eine bestimmte Adresse erlaubt oder verweigert wird, koennen Sie anhand des Protokolls von der optimierten Regel zu den urspruenglichen einzelnen Eintraegen zurueckverfolgen, die kombiniert wurden. Dieser Pruefpfad ist fuer compliance-sensible Umgebungen unabdingbar, in denen jede Regel in Ihrer Konfiguration begruendet werden muss.

Haeufig gestellte Fragen

Aendert die Zusammenfuehrung die Adressabdeckung?

Nein. Die zusammengefuehrte Ausgabe deckt exakt dieselbe Menge von IP-Adressen ab wie die Eingabe. Es werden keine Adressen hinzugefuegt oder entfernt. Das Tool aendert nur die Darstellung, nicht die Abdeckung.

Was ist der Unterschied zwischen diesem Tool und dem CIDR-Aggregator?

Das Minimale Zusammenfuehrungstool fuehrt nur echte Geschwisterpaare zusammen -- Bloecke, die benachbart, gleichgross und grenzausgerichtet sind. Der CIDR-Aggregator kann auch Supernetze erzeugen, die etwas mehr Adressraum als die Eingabe abdecken (Luecken zwischen nicht benachbarten Bloecken ueberdeckend). Verwenden Sie das Zusammenfuehrungstool, wenn Sie exakte Abdeckungsbewahrung benoetigen; verwenden Sie den Aggregator, wenn Sie bereit sind, ein ueberdeckendes Supernetz zu akzeptieren.

Wie werden doppelte Eintraege in der Eingabe behandelt?

Duplikate werden vor Beginn der Zusammenfuehrung entfernt. Wenn 10.0.0.0/24 dreimal in Ihrer Eingabe vorkommt, wird es als einzelner Eintrag behandelt. Der Deduplizierungsschritt stellt sicher, dass keine falschen Zusammenfuehrungsoperationen auftreten.

Welche maximale Listengroesse verarbeitet dieses Tool?

Das Tool verarbeitet Listen mit Tausenden von CIDR-Bloecken effizient im Browser. Der Mehrfach-Durchlauf-Algorithmus hat eine Worst-Case-Komplexitaet proportional zur Anzahl der Bloecke multipliziert mit der Anzahl der Zusammenfuehrungsdurchlaeufe (typischerweise 2-5 Durchlaeufe), was ihn selbst fuer grosse Eingaben schnell macht.

Wie viele Durchlaeufe benoetigt der Algorithmus typischerweise?

Die meisten realen Listen werden in 2-3 Durchlaeufen abgeschlossen. Das theoretische Maximum betraegt 32 Durchlaeufe fuer IPv4 (einer fuer jede Bit-Position), aber dies wuerde eine extrem spezifische Eingabe von 2^32 einzelnen /32-Eintraegen erfordern. In der Praxis benoetigen selbst Listen mit Tausenden von Eintraegen selten mehr als 5 Durchlaeufe.

Verwandte Tools

• Nachbarschaftspruefer - Pruefen, ob zwei CIDR-Bloecke zusammengefuehrt werden koennen
• CIDR-Aggregator - Mehrere CIDR-Bloecke zu zusammengefassten Routen aggregieren
• CIDR-Liste Minimaler nicht-ueberlappender Satz - Eine CIDR-Liste in minimale nicht-ueberlappende Bloecke konvertieren
• CIDR-Deduplizierer - Doppelte und enthaltene CIDR-Bloecke entfernen
• Routen nach Standort/Tag zusammenfassen - Routen mit Tags gruppieren und zusammenfassen