Ferramenta de Exclusão CIDR

A CIDR Exclusion Tool subtrai um ou mais blocos CIDR de exceção de um range CIDR pai, retornando o conjunto minimal de blocos CIDR que cobrem o espaço de endereço remanescente. Digite um bloco pai como 10.0.0.0/8 e exclusões como 10.100.0.0/16, 10.200.0.0/16 para obter o conjunto preciso de CIDRs que tile o espaço remanescente sem incluir os ranges cortados.

Entendendo Exclusões CIDR

Se você gerencia firewalls, políticas de roteamento ou grupos de segurança em nuvem, você eventualmente precisará expressar uma regra que diz "permita este range inteiro exceto por estas subnets específicas." O conceito é direto, mas a matemática não é. Você não pode simplesmente escrever "10.0.0.0/8 menos 10.100.0.0/16" em uma regra de firewall -- você precisa expressar o espaço remanescente como uma lista de blocos CIDR válidos que seu dispositivo realmente entende. Isso é o que exclusão CIDR faz: realiza a operação de set-difference e passa o resultado em um formato que você pode colar diretamente em uma configuração.

A razão pela qual isso é mais difícil que parece vem de como notação CIDR funciona. Cada bloco CIDR deve ser um range contíguo de endereços cujo tamanho é uma potência de dois, começando em uma fronteira alinhada. Quando você fura um buraco em um bloco maior, o espaço remanescente raramente alinha bem com essas restrições. Excluir 10.100.0.0/16 de 10.0.0.0/8 produz oito blocos CIDR separados de vários tamanhos porque a fronteira de exclusão na posição 100 do segundo octeto força splits em múltiplos níveis da árvore de endereço binário. Fazer isso manualmente é tedioso e propenso a erro, especialmente quando você tem múltiplas exclusões em posições diferentes dentro do pai.

Esta ferramenta lida com toda complexidade automaticamente. Você fornece o bloco pai e a lista de exclusões, e ela retorna o conjunto matematicamente minimal de CIDRs que cobrem o espaço remanescente. Se você está cortando uma DMZ de uma regra allow ampla em nível de empresa, reservando um bloco dentro de uma alocação maior para uso futuro ou construindo anúncios BGP com sub-blocos delegados retirados, a saída oferece exatamente o que você precisa para sua configuração de dispositivo.

Como Subtrair Blocos CIDR de um Range Pai

1. Digite o bloco CIDR pai (ex: 10.0.0.0/8)
2. Digite um ou mais CIDRs de exclusão, um por linha ou separados por vírgula (ex: 10.100.0.0/16, 10.200.0.0/16)
3. Clique em calcular para obter o conjunto minimal de blocos remanescentes
4. Revise a lista de saída mostrando cada bloco resultante com sua contagem de endereço
5. Copie os resultados para uso em regras de firewall, ACLs ou configurações de roteamento

Exemplos de Exclusão CIDR

Excluindo um único /16 de um /8

Excluindo duas subnets de um /16

Excluindo um /28 de um /24

Quando Usar a CIDR Exclusion Tool

• Regras de firewall allow com exceções -- permita tráfego de 10.0.0.0/8 mas bloqueie a DMZ em 10.100.0.0/16
• Alocação de endereço IP -- reserve um /24 dentro de um bloco maior para um propósito específico e aloque o resto
• Grupos de segurança em nuvem -- crie regras cobrindo um CIDR de VPC menos subnets privadas específicas
• Anúncios BGP -- anuncie um prefixo grande enquanto retira um bloco mais-específico delegado em outro lugar
• Carve-outs de conformidade -- exclua subnets reguladas de políticas de acesso geral
• Ambientes multi-tenant -- expresse "todo espaço de cliente exceto tenant X" em regras de infraestrutura compartilhada

Como Aritmética de Exclusão CIDR Funciona

Exclusão CIDR é fundamentalmente uma operação de set difference no espaço de endereço IP. O algoritmo funciona por:

Passo 1: Alinhamento Binário

Cada bloco CIDR mapeia para um range contíguo de endereços alinhado em uma fronteira potência-de-dois. O pai 10.0.0.0/8 cobre endereços 10.0.0.0 até 10.255.255.255 (16.777.216 endereços).

Passo 2: Divisão Recursiva

Quando uma exclusão cai dentro do pai, o pai deve ser dividido em sub-blocos que tilem ao redor do buraco. O algoritmo recursivamente bissecta o pai ao longo de fronteiras CIDR até cada bloco resultante cair inteiramente fora da exclusão ou inteiramente dentro dela (e é descartado).

Pai:       10.0.0.0/8
           |===============================|
Exclusão:  10.100.0.0/16
           |         |XX|                  |
Divisão:   |/9 |/10|/14|/16|/15|/13|/12|/9|

Passo 3: Recombinação Minimal

Blocos adjacentes no mesmo comprimento de prefixo que compartilham um pai comum são recombinados. Isso garante a saída seja o conjunto matematicamente minimal de CIDRs representando o espaço remanescente.

Por Que o Resultado Tem Muitos Blocos

Excluir um range que não alinha com as fronteiras binárias do pai produz muitos CIDRs pequenos. Por exemplo, excluir 10.100.0.0/16 de 10.0.0.0/8 rende 8 blocos porque o buraco na posição 100 força splits em múltiplos níveis da árvore binária. Um buraco em uma fronteira mais natural (como 10.128.0.0/9) produziria menos blocos porque a divisão alinha com a estrutura binária.

Dicas Práticas para Exclusões CIDR

O erro mais comum ao trabalhar com exclusões é esquecer de verificar que seus CIDRs de exclusão estão realmente contidos dentro do pai. Se uma exclusão parcialmente overlaps a fronteira de pai, a ferramenta corretamente lida subtraindo apenas a porção overlapping, mas o resultado pode não ser o que você esperava. Sempre double-check que seus ranges de exclusão fazem sentido relativamente ao pai antes de deployar as regras resultantes.

Ao construir regras de firewall a partir de resultados de exclusão, tenha em mente que a ordem de regras importa na maioria dos dispositivos. Se seu firewall processa regras top-to-bottom, você tipicamente quer colocar as regras deny para ranges excluídos antes da regra allow mais ampla. Porém, se você está usando a saída de exclusão como a lista allow em si (com um implicit deny-all), então ordem de regra dentro do conjunto allow não importa porque endereços excluídos simplesmente estão ausentes da lista.

Outra consideração é limites de contagem de regra. Algumas plataformas, particularmente grupos de segurança em nuvem, impõem caps no número de regras por grupo. Uma exclusão que produz 15 blocos resultantes significa 15 regras. Se você está perto de seu limite, considere se pode reestruturar o pai em blocos menores onde exclusões produzem menos fragments, ou se a plataforma suporta IP sets ou prefix lists que lidam com a complexidade fora da tabela de regra.

Perguntas Frequentes

Posso excluir múltiplos CIDRs não-contíguos de uma vez?

Sim. Digite todos CIDRs de exclusão separados por vírgulas ou newlines. A ferramenta os processa simultaneamente e retorna o conjunto minimal único de blocos cobrindo o espaço remanescente. A ordem de exclusões não afeta o resultado.

O que acontece se uma exclusão é maior que ou igual ao pai?

Se uma exclusão completamente cobre o CIDR pai, o resultado é um conjunto vazio -- não há espaço de endereço remanescente. Se a exclusão se estende além das fronteiras de pai, apenas a porção overlapping é subtraída.

Isso funciona com IPv6?

Sim. A ferramenta lida com blocos CIDR IPv4 e IPv6. Exclusões IPv6 seguem o mesmo algoritmo de divisão binária mas operam em endereços de 128-bit. Por exemplo, excluindo 2001:db8:1::/48 de 2001:db8::/32 produz o conjunto esperado de blocos /48, /47, /46, etc. remanescentes.

Como isso difere da ferramenta Range Difference?

A CIDR Exclusion Tool pega notação CIDR como entrada e saída, otimizando para uso em regras de firewall e configurações de roteamento. A ferramenta Range Difference funciona com ranges de IP arbitrários (notação start-end) que podem não alinhar com fronteiras CIDR. Use exclusão CIDR quando suas entradas e saídas são blocos CIDR.

Posso nidificar exclusões -- excluir de um resultado já-excluído?

Sim. Pegue a saída de uma operação de exclusão e use-a como entrada para outra. Porém, é mais simples listar todas exclusões de uma vez em uma operação única. A ferramenta lida corretamente com múltiplas exclusões simultâneas e o resultado é o mesmo que aplicá-las sequencialmente.

Quantos blocos de resultado devo esperar?

O número de blocos de resultado depende de onde a exclusão cai relativo à estrutura binária do pai. Exclusões em fronteiras de potência-de-dois natural produzem menos blocos. No pior caso, excluindo um único /32 de um /0 produz 32 blocos (um para cada posição de bit). Na prática, a maioria das exclusões produzem entre 4 e 15 blocos de resultado.

Ferramentas Relacionadas

• Range Difference - Calcular A menos B para ranges de IP arbitrários
• CIDR Gap Finder - Encontrar lacunas não-alocadas dentro de um CIDR pai
• CIDR Aggregator - Agregar múltiplos blocos CIDR em rotas resumidas
• CIDR List Minimal Non-overlapping Set - Converter uma lista CIDR para blocos não-overlapping minimais
• Minimal Merge Tool - Mesclar todos blocos CIDR mescláveis em uma lista