Différence de plages

L'outil Range Difference calcule la différence ensembliste entre deux plages IP -- les adresses présentes dans la plage A mais absentes de la plage B. Saisissez 10.0.0.0/8 comme plage A et 10.1.0.0/16 comme plage B pour obtenir les huit blocs CIDR qui couvrent l'intégralité du /8 à l'exception de ce /16 spécifique.

Comprendre la différence de plages IP

L'opération de différence ensembliste (A moins B) est l'un des calculs de plages IP les plus utiles en pratique. Elle répond à la question : si je pars de la plage A et que je retire tout ce qui chevauche la plage B, que reste-t-il ? Le résultat est la portion de A qui ne chevauche pas B, exprimée sous forme d'une liste minimale de blocs CIDR.

Cela revient fréquemment dans la conception de pare-feu et de politiques de sécurité. L'exemple classique est « autoriser tout dans ce réseau sauf le sous-réseau d'administration ». Vous avez une règle d'autorisation large pour 10.0.0.0/8, mais vous devez exclure 10.0.0.0/24 car c'est votre réseau d'administration avec ses propres règles plus strictes. La différence 10.0.0.0/8 moins 10.0.0.0/24 vous donne la liste exacte de blocs CIDR dont vous avez besoin pour la règle d'autorisation. Sans cet outil, vous devriez déterminer manuellement quels blocs couvrent l'espace d'adressage restant, ce qui est fastidieux et source d'erreurs.

Le résultat d'une opération de différence contient souvent bien plus de blocs CIDR que vous ne pourriez l'imaginer. Lorsque vous retirez un bloc au milieu d'une plage, l'espace restant de chaque côté peut ne pas s'aligner sur des limites CIDR propres. Retirer un seul /32 d'un /24 peut produire huit blocs CIDR. Ce n'est pas un défaut de l'outil -- c'est une propriété fondamentale du fonctionnement des blocs CIDR. Chaque bloc doit être de taille en puissance de deux et aligné sur des limites binaires, donc exprimer une « plage avec un trou » arbitraire nécessite plusieurs blocs pour paver l'espace restant.

Comment calculer la différence entre deux plages IP (A moins B)

1. Saisissez la Plage A -- la plage de base ou le bloc CIDR (ex. 10.0.0.0/8)
2. Saisissez la Plage B -- la plage à soustraire (ex. 10.1.0.0/16)
3. L'outil calcule A moins B -- toutes les adresses présentes dans A mais absentes de B
4. Consultez les blocs CIDR résultants qui représentent A avec la portion B retirée

Exemples de différence de plages IP

Soustraction d'un petit bloc d'un grand bloc

A: 10.0.0.0/8       (10.0.0.0 - 10.255.255.255)
B: 10.1.0.0/16      (10.1.0.0 - 10.1.255.255)

Résultat (A - B) :
10.0.0.0/16          (10.0.0.0   - 10.0.255.255)
10.2.0.0/15          (10.2.0.0   - 10.3.255.255)
10.4.0.0/14          (10.4.0.0   - 10.7.255.255)
10.8.0.0/13          (10.8.0.0   - 10.15.255.255)
10.16.0.0/12         (10.16.0.0  - 10.31.255.255)
10.32.0.0/11         (10.32.0.0  - 10.63.255.255)
10.64.0.0/10         (10.64.0.0  - 10.127.255.255)
10.128.0.0/9         (10.128.0.0 - 10.255.255.255)

Le /8 moins un /16 produit 8 blocs CIDR qui couvrent l'intégralité du /8 à l'exception du /16 exclu.

Autres scénarios courants

Suppression d'un hôte unique d'un sous-réseau

A: 10.0.0.0/24       (10.0.0.0 - 10.0.0.255)
B: 10.0.0.100/32     (10.0.0.100)

Résultat (A - B) :
10.0.0.0/26          (10.0.0.0   - 10.0.0.63)
10.0.0.64/27         (10.0.0.64  - 10.0.0.95)
10.0.0.96/30         (10.0.0.96  - 10.0.0.99)
10.0.0.101/32        (10.0.0.101)
10.0.0.102/31        (10.0.0.102 - 10.0.0.103)
10.0.0.104/29        (10.0.0.104 - 10.0.0.111)
10.0.0.112/28        (10.0.0.112 - 10.0.0.127)
10.0.0.128/25        (10.0.0.128 - 10.0.0.255)

La suppression d'un seul /32 d'un /24 crée un « trou » qui nécessite plusieurs blocs CIDR pour exprimer les adresses restantes.

Quand utiliser l'outil Range Difference

• Règles de pare-feu « tout autoriser sauf » -- lorsque vous devez autoriser une plage étendue mais exclure des sous-réseaux spécifiques, calculez la différence pour obtenir la liste CIDR exacte pour vos règles
• Inventaire de l'espace d'adressage -- soustrayez les sous-réseaux alloués d'un bloc parent pour visualiser ce qui reste disponible pour de nouvelles attributions
• Politiques de sécurité par exception -- appliquez une politique à une plage réseau en excluant les hôtes de confiance ou les sous-réseaux d'administration
• Configuration VPN en split-tunnel -- routez l'ensemble du trafic d'entreprise via le VPN, à l'exception des plages IP de certains services cloud
• Migration réseau -- suivez les portions d'une ancienne plage d'adresses qui ont été migrées par rapport à celles qui restent sur le réseau legacy
• Plages d'exclusion DHCP -- calculez les blocs CIDR à attribuer lorsque certaines adresses au sein d'un sous-réseau sont réservées

Fonctionnement de la différence ensembliste pour les plages IP

L'opération de différence de plages est mathématiquement équivalente à A AND (NOT B). Elle retourne les adresses qui appartiennent à A tout en n'appartenant pas à B.

Étapes de l'algorithme

1. Si B ne chevauche pas du tout A, le résultat est simplement A (rien à soustraire)
2. Si B contient entièrement A, le résultat est vide (tout est soustrait)
3. Si B chevauche partiellement A, scinder A aux limites de B :
   • La portion de A avant le chevauchement est conservée
   • La portion de A après le chevauchement est conservée
   • La portion qui chevauche est retirée
4. Convertir les portions restantes en notation CIDR minimale

Pourquoi le résultat contient de nombreux blocs CIDR

Lorsque vous retirez un bloc au milieu d'une plage, l'espace d'adressage restant de chaque côté peut ne pas s'aligner sur des limites CIDR propres. Chaque côté doit être exprimé sous forme d'une série de blocs CIDR de taille décroissante qui, ensemble, couvrent l'écart entre la limite de A et la limite de B. C'est la même raison pour laquelle des plages IP arbitraires nécessitent souvent plusieurs CIDR -- l'exigence d'alignement binaire empêche un seul bloc de couvrir une portion arbitraire de l'espace d'adressage.

Visualisation de la différence

A :     |==================================|
B :              |==========|

A - B : |========|          |==============|
        ^-- portion gauche  ^-- portion droite

Chaque portion (gauche et droite) est convertie indépendamment en son ensemble minimal de blocs CIDR.

Conseils pratiques pour la différence de plages

Lorsque vous construisez des règles de pare-feu « autoriser tout sauf », commencez toujours par calculer la différence pour voir combien de blocs CIDR le résultat contient. Si le retrait d'un sous-réseau d'administration d'un /16 produit 15 blocs CIDR, vous pourriez décider que déployer 15 règles séparées est pire que de restructurer votre approche -- par exemple en utilisant une règle d'autorisation large combinée à une règle de blocage de priorité supérieure pour l'exception. Beaucoup de plateformes de pare-feu traitent les règles dans l'ordre et s'arrêtent à la première correspondance, donc une règle de blocage avant une règle d'autorisation peut obtenir le même effet avec seulement deux entrées au lieu de quinze.

Lorsque vous utilisez la différence pour l'inventaire de l'espace d'adressage, gardez à l'esprit que le résultat vous montre l'espace disponible au niveau CIDR, pas nécessairement un espace pratique à utiliser. Un espace de 3 adresses entre deux allocations apparaîtra comme trois blocs /32 dans la sortie de différence, ce qui est mathématiquement correct mais pas utile pour allouer un nouveau sous-réseau. Recherchez les blocs plus grands dans la sortie lors de la planification de nouvelles allocations.

L'ordre des opérations est déterminant. A - B et B - A produisent des résultats complètement différents. Si A est plus grand que B et que B est inclus dans A, A - B vous donne A avec un trou. Mais B - A donne un ensemble vide car tout ce qui est dans B est aussi dans A, donc il n'y a rien dans B qui ne soit pas dans A. Vérifiez toujours soigneusement quelle plage est A (la base) et laquelle est B (la soustraction).

Questions fréquentes

La différence de plages est-elle identique à l'exclusion CIDR ?

Elles sont fonctionnellement identiques. L'outil d'exclusion CIDR est conçu pour soustraire plusieurs CIDR d'exception d'un bloc parent unique, tandis que le Range Difference traite le cas A-moins-B par paire. Pour soustraire de nombreuses exceptions, l'outil d'exclusion est plus pratique.

Peut-on enchaîner plusieurs opérations de différence ?

Oui. Pour soustraire plusieurs plages de A, calculez A - B1, puis soustrayez B2 du résultat, et ainsi de suite. Vous pouvez également utiliser l'outil d'exclusion CIDR qui gère plusieurs soustractions en une seule étape.

L'ordre a-t-il de l'importance ? A-B est-il identique à B-A ?

Non, l'ordre est déterminant. 10.0.0.0/8 - 10.1.0.0/16 retire un petit morceau d'un grand bloc. 10.1.0.0/16 - 10.0.0.0/8 retire tout car B contient entièrement A, ce qui donne un ensemble vide.

Pourquoi le retrait d'une seule IP d'un /24 produit-il autant de blocs ?

Un /24 contient 256 adresses. En retirer une crée 255 adresses restantes, ce qui ne peut pas être exprimé comme un seul bloc CIDR (255 n'est pas une puissance de deux). L'outil doit paver l'espace restant avec les plus grands blocs alignés possibles, ce qui produit 8 blocs pour un retrait au milieu.

Que se passe-t-il si A et B ne se chevauchent pas du tout ?

Le résultat est simplement A inchangé. Puisque B n'a aucune adresse en commun avec A, il n'y a rien à soustraire, et la plage originale complète est conservée.

Peut-on utiliser cet outil avec des plages IPv6 ?

Oui. Le même algorithme de différence s'applique aux adresses IPv6 de 128 bits. Les résultats peuvent contenir plus de blocs CIDR en raison de l'espace d'adressage plus grand, mais la logique est identique.

Outils associés

• Range Union - Fusionner des plages IP chevauchantes en une liste unifiée
• Range Intersection - Trouver les adresses communes entre deux plages IP
• Outil d'exclusion CIDR - Soustraire des CIDR d'exception d'un bloc parent
• CIDR Gap Finder - Trouver les espaces non alloués dans un CIDR parent
• Next Available Subnet Finder - Trouver le prochain sous-réseau disponible dans un bloc parent