Vérificateur d’inclusion de sous-réseau

Le vérificateur d'inclusion de sous-réseau détermine si un bloc CIDR englobe entièrement un autre, identifiant les relations de contenance supernet-sous-réseau. Saisissez deux blocs CIDR comme 10.0.0.0/8 et 10.1.2.0/24 pour vérifier instantanément si l'un est un sous-ensemble de l'autre -- l'outil indique si A contient B, si B contient A, s'ils sont identiques, ou si aucun ne contient l'autre.

Comprendre l'inclusion de sous-réseaux

Si vous travaillez avec des routeurs, des pare-feu ou tout type de système de gestion d'adresses IP, vous devrez régulièrement répondre à la question suivante : est-ce que ce réseau s'inscrit dans cet autre réseau ? L'inclusion de sous-réseau est la manière formelle de décrire cette relation. Un supernet contient un sous-réseau lorsque chaque adresse du bloc plus petit existe également dans le bloc plus grand. Ce concept sous-tend la summarisation de routes, l'optimisation des règles de pare-feu et la planification hiérarchique d'adressage.

L'idée est intuitive lorsque vous raisonnez en termes de plages d'adresses. Un bloc /24 comme 192.168.1.0/24 couvre 256 adresses de .0 à .255. Un bloc /25 comme 192.168.1.0/25 ne couvre que les 128 premières de ces adresses, de .0 à .127. Puisque chaque adresse du /25 apparaît également dans le /24, le /24 contient le /25. L'inverse n'est jamais vrai -- le /24 possède des adresses (.128 à .255) qui n'existent pas dans le /25, donc le /25 ne peut pas contenir le /24.

Cette relation est importante en pratique car de nombreuses opérations réseau en dépendent. Lorsque vous configurez une route résumée sur un routeur, vous affirmez qu'un seul supernet contient toutes les routes plus spécifiques derrière lui. Lorsque vous auditez un ensemble de règles de pare-feu, une règle d'autorisation large pour 10.0.0.0/8 rend redondante toute règle plus étroite pour 10.1.0.0/16. Et lorsque vous allouez de l'espace d'adressage dans un outil IPAM, les sous-allocations doivent se situer au sein de leur bloc parent. Se tromper sur l'un de ces points mène à des trous noirs de routage, des failles de sécurité ou des conflits d'adresses.

Comment vérifier si un sous-réseau en contient un autre

1. Saisissez le premier bloc CIDR (ex. : 192.168.0.0/16) dans le champ Sous-réseau A.
2. Saisissez le second bloc CIDR (ex. : 192.168.1.0/24) dans le champ Sous-réseau B.
3. L'outil indique instantanément si A contient B, si B contient A, s'ils sont identiques, ou si aucun ne contient l'autre.

La vérification fonctionne en comparant l'adresse réseau et la plage d'hôtes de chaque sous-réseau. Le sous-réseau A contient le sous-réseau B lorsque chaque adresse de B se trouve également dans A -- ce qui signifie que l'adresse réseau de B est supérieure ou égale à celle de A, et que l'adresse de broadcast de B est inférieure ou égale à celle de A.

Exemples d'inclusion de sous-réseaux

Pourquoi le sens de l'inclusion est important

Un /24 contient deux sous-réseaux /25, mais un /25 ne peut jamais contenir un /24. Le préfixe le plus long (route la plus spécifique) a toujours moins d'adresses :

• 192.168.1.0/24 = 256 adresses (192.168.1.0 -- 192.168.1.255)
• 192.168.1.0/25 = 128 adresses (192.168.1.0 -- 192.168.1.127)
• 192.168.1.128/25 = 128 adresses (192.168.1.128 -- 192.168.1.255)

Les deux sous-réseaux /25 sont contenus dans le /24, mais le /24 n'est contenu dans aucun des deux /25.

Quand utiliser le vérificateur d'inclusion de sous-réseau

• Summarisation de routes -- vérifier que toutes les routes spécifiques peuvent être agrégées en un seul supernet avant d'appliquer des routes résumées sur votre routeur.
• Audit de règles de pare-feu -- identifier les règles redondantes où un CIDR plus large couvre déjà un plus spécifique (ex. : une règle d'autorisation pour 10.0.0.0/8 rend inutile une règle distincte pour 10.1.0.0/16).
• Validation de hiérarchie IPAM -- confirmer que les sous-allocations se trouvent correctement au sein de leurs blocs d'allocation parents.
• Conception de VPC cloud -- s'assurer que les allocations de sous-réseaux pour les services individuels s'inscrivent dans la plage CIDR globale du VPC (ex. : vérifier que 10.0.1.0/24 est dans 10.0.0.0/16).
• Optimisation des ACL -- regrouper plusieurs entrées permit/deny spécifiques en instructions réseau plus larges lorsque l'inclusion est confirmée.

Fonctionnement de l'inclusion de sous-réseaux

L'inclusion est déterminée en comparant les frontières binaires de deux blocs CIDR. Pour que le sous-réseau A contienne le sous-réseau B :

1. L'adresse réseau de B doit être supérieure ou égale à l'adresse réseau de A.
2. L'adresse de broadcast de B doit être inférieure ou égale à l'adresse de broadcast de A.

En termes binaires, la partie réseau de B doit partager les mêmes bits de tête que A, et la longueur de préfixe de B doit être égale ou supérieure à celle de A.

Exemple détaillé

Vérifier si 10.0.0.0/8 contient 10.20.30.0/24 :

10.0.0.0/8     -> plage : 10.0.0.0 à 10.255.255.255
10.20.30.0/24  -> plage : 10.20.30.0 à 10.20.30.255

10.20.30.0   >= 10.0.0.0       -> vrai
10.20.30.255 <= 10.255.255.255 -> vrai

Résultat : 10.0.0.0/8 contient 10.20.30.0/24

Inclusion vs. chevauchement

L'inclusion est une forme spécifique de chevauchement où la plage d'adresses entière d'un sous-réseau se trouve au sein de celle de l'autre. Deux sous-réseaux peuvent se chevaucher sans que l'un contienne l'autre lorsqu'il s'agit de plages IP arbitraires, mais avec des blocs CIDR correctement alignés, tout chevauchement implique une inclusion. Si vous devez détecter si deux sous-réseaux partagent ne serait-ce qu'une adresse, utilisez le Vérificateur de chevauchement de sous-réseaux.

Vérifications d'inclusion en pratique

Le cas d'utilisation le plus courant des vérifications d'inclusion est l'audit de pare-feu et d'ACL. Au fil du temps, les ensembles de règles accumulent des entrées à mesure que les ingénieurs ajoutent des autorisations ou des refus spécifiques pour de nouveaux besoins sans vérifier si des règles plus larges existantes couvrent déjà la nouvelle plage. Un pare-feu avec une règle d'autorisation pour 10.0.0.0/8 n'a pas besoin d'une règle séparée pour 10.1.0.0/16 ou 10.1.1.0/24 -- les deux sont déjà autorisés par la règle /8. Identifier et supprimer ces entrées redondantes rend l'ensemble de règles plus petit, plus facile à auditer et plus rapide à traiter pour le pare-feu.

Un autre cas d'utilisation important est la validation des plans d'adressage avant le déploiement. Lorsque vous recevez une allocation /20 de votre FAI ou registre régional, chaque sous-réseau que vous créez pour les VLAN, les DMZ ou les liaisons point-à-point doit s'inscrire dans ce /20. Effectuer une vérification d'inclusion pour chaque sous-réseau planifié par rapport à l'allocation parente détecte les erreurs en amont -- avant qu'un sous-réseau mal configuré ne cause des problèmes de routage en production. Cela est particulièrement important dans les environnements cloud où les plages CIDR de VPC sont immuables une fois créées, et les allocations de sous-réseaux qui dépassent la plage du VPC seront rejetées par le fournisseur.

Un troisième scénario est la summarisation de routes sur les routeurs de bordure. Avant de remplacer une liste de routes spécifiques par une seule route résumée, vous devez vérifier que le résumé contient effectivement toutes les routes spécifiques. Si une route spécifique se trouve en dehors du résumé, le trafic vers ce réseau sera supprimé lorsque la route spécifique sera retirée. Passer chaque route spécifique par une vérification d'inclusion contre la route résumée proposée prévient ce type de panne.

Questions fréquentes

Un sous-réseau peut-il se contenir lui-même ? Oui. Si les deux blocs CIDR sont identiques (même adresse réseau et longueur de préfixe), l'outil les signale comme identiques. Techniquement, chaque sous-réseau se contient lui-même puisque toutes les adresses de A sont également dans A.

Cet outil fonctionne-t-il avec les blocs CIDR IPv6 ? Oui. La logique d'inclusion est la même pour IPv6. Un bloc fd00::/32 contient fd00:abcd::/48 car le /48 est un préfixe plus spécifique au sein de la plage du /32.

Que se passe-t-il si les sous-réseaux se chevauchent partiellement sans que l'un contienne l'autre ? L'outil indiquera qu'aucun ne contient l'autre. Pour une analyse détaillée du chevauchement incluant la plage d'adresses partagée, utilisez le Vérificateur de chevauchement de sous-réseaux. Notez qu'avec des blocs CIDR correctement alignés, un chevauchement partiel sans inclusion n'est pas possible -- le chevauchement implique toujours que l'un contient l'autre.

En quoi est-ce différent de vérifier si une IP est dans un sous-réseau ? Le Vérificateur IP dans un sous-réseau teste une seule adresse hôte par rapport à un sous-réseau. Cet outil teste un sous-réseau entier par rapport à un autre sous-réseau -- une opération fondamentalement différente qui compare deux plages plutôt qu'un point par rapport à une plage.

Puis-je vérifier l'inclusion pour une liste de sous-réseaux en une seule fois ? Cet outil compare deux blocs CIDR individuels. Si vous devez vérifier que plusieurs sous-réseaux sont tous contenus dans un bloc parent, effectuez chaque paire individuellement. Pour une analyse de chevauchement en masse entre deux listes de CIDR, utilisez le Vérificateur de chevauchement de sous-réseaux (liste contre liste).

La longueur du préfixe seule détermine-t-elle l'inclusion ? Non. Un préfixe plus court (comme /16) est une condition nécessaire pour contenir un préfixe plus long (comme /24), mais ce n'est pas suffisant. 192.168.1.0/24 est contenu dans 192.168.0.0/16, mais 10.1.0.0/24 n'est pas contenu dans 192.168.0.0/16 car les adresses réseau appartiennent à des blocs entièrement différents.

Outils associés

• Vérificateur de chevauchement de sous-réseaux (deux CIDR) - Vérifier si deux blocs CIDR partagent des adresses communes
• Vérificateur IP dans un sous-réseau - Vérifier si une adresse IP appartient à un sous-réseau spécifique
• Dédoublonneur CIDR - Supprimer les blocs CIDR en double et inclus d'une liste
• Visualiseur de frontières de sous-réseau - Visualiser les frontières de sous-réseau et l'alignement des bits
• Calculateur de sous-réseau IPv4 - Calculer réseau, broadcast et plage d'hôtes à partir de la notation CIDR