CIDR-zu-IP-Bereich-Konverter

CIDR-Notation und Adressbereiche beschreiben dasselbe auf zwei Arten, und jedes Werkzeug will eine andere. Eine Firewall-Regel nimmt 10.0.0.0/24, ein Export einer Allowlist liefert 10.0.0.0 bis 10.0.0.255, eine Cloud-Konsole fragt nach dem einen, während Ihr Ticket das andere zitiert. Dieser Konverter arbeitet in beide Richtungen: Fügen Sie einen Block wie 10.0.0.0/24 ein und Sie erhalten Netzwerkadresse, Broadcast sowie den ersten und letzten nutzbaren Host; fügen Sie eine Start- und eine Endadresse ein und Sie erhalten die minimale Liste an CIDR-Blöcken, die den Bereich exakt abdeckt.

Beide Richtungen laufen vollständig in Ihrem Browser und schreiben ihre Eingaben in die Seiten-URL, ein Ergebnis ist also ein Link, den Sie direkt in ein Ticket, ein Runbook oder ein Review setzen können. Es wird nichts hochgeladen und nichts gespeichert.

Einen CIDR-Block zu einem Adressbereich erweitern

Ein CIDR-Block ist eine Basisadresse mit einer Präfixlänge: Das /N zählt, wie viele führende Bits festliegen. Alles im Block teilt diese N Bits, und die übrigen 32 − N Bits zählen die Adressen darin ab. Der Block fasst also 2^(32 − N) Adressen, zusammenhängend von der Netzwerkadresse (alle Hostbits 0) bis zur Broadcast-Adresse (alle Hostbits 1). 10.0.0.0/24 legt die ersten 24 Bit fest, lässt 8 Hostbits und reicht damit von 10.0.0.0 bis 10.0.0.255: 256 Adressen, von denen 10.0.0.1 bis 10.0.0.254 die 254 nutzbaren Hosts sind.

Netzwerk- und Broadcast-Adresse sind die beiden Enden dieser Reihe. In einem gewöhnlichen Subnetz benennt die Netzwerkadresse (hier die .0) das Subnetz selbst, und die Broadcast-Adresse (die .255) erreicht jeden Host darin, keine von beiden ist also einer Schnittstelle zuweisbar. Deshalb bietet ein /24 256 Adressen insgesamt, aber 254 nutzbare. Ein Bit weniger und die Zahlen verdoppeln sich: Ein /23 sind 512 Adressen und 510 nutzbare; ein Bit mehr und sie halbieren sich.

Zwei Präfixe sind besonders, weil in ihnen kein Platz für eine eigene Netzwerk- und Broadcast-Adresse ist. Ein /32 ist eine einzelne Adresse: erste, letzte und die Adresse selbst fallen zusammen, und so schreibt man eine Hostroute oder einen Firewall-Eintrag für eine einzelne IP. Ein /31 ist ein Block aus zwei Adressen ohne Broadcast: RFC 3021 definiert ihn für Punkt-zu-Punkt-Strecken, wo beide Adressen als die zwei Enden der Strecke nutzbar sind. Der Konverter weist Broadcast- und Host-Zahlen entsprechend aus und zeigt einen Strich, wo ein /31 oder /32 keinen Broadcast zu melden hat.

Einen Adressbereich zu CIDR-Blöcken zusammenfassen

In der Gegenrichtung wird die Arithmetik interessant, denn ein beliebiger Bereich lässt sich meist nicht als ein einzelner CIDR-Block schreiben. Ein CIDR-Block muss ausgerichtet sein: Ein Block der Größe 2^k muss an einer Adresse beginnen, die ein Vielfaches von 2^k ist. Ein Bereich, dessen Start nicht zu seiner Länge ausgerichtet ist (oder dessen Länge keine Zweierpotenz ist), passt schlicht in kein einzelnes Präfix und muss daher in mehrere ausgerichtete Blöcke zerlegt werden, die ihn exakt kacheln.

Nehmen Sie 192.168.1.10 bis 192.168.1.20, elf Adressen. Elf ist keine Zweierpotenz, und .10 ist nicht zu einem großen Block ausgerichtet, also besteht die Abdeckung aus vier Teilen: 192.168.1.10/31 (das Paar .10–.11), dann 192.168.1.12/30 (.12–.15), dann 192.168.1.16/30 (.16–.19), dann 192.168.1.20/32 (die einzelne .20). Zusammen enthalten diese vier Blöcke genau die elf Adressen von .10 bis .20 und keine einzige mehr.

Der Konverter baut diese Liste gierig auf: In jedem Schritt setzt er den größten Block, der sowohl an der aktuellen Adresse beginnt (unter Wahrung der Ausrichtung) als auch nicht über das Ende des Bereichs hinausläuft, und rückt dann zur nächsten noch nicht abgedeckten Adresse vor. Jedes Mal den größten ausgerichteten Block zu nehmen ergibt beweisbar die minimale Abdeckung: Keine kürzere Liste an CIDR-Blöcken beschreibt denselben Bereich. In der Praxis bleiben die Listen kurz: Selbst der sperrigste IPv4-Bereich braucht höchstens ein paar Dutzend Blöcke.

Wo welche Form gebraucht wird

Welche Notation Sie brauchen, gibt das jeweils verarbeitende System vor, und die beiden sind sich selten einig. Zwischen ihnen umzurechnen gehört im Netz- und Security-Alltag zur Routine:

• Firewall-Regeln und ACLs: Die meisten nehmen CIDR, ein menschlich formuliertes "alles von .10 bis .20" muss also erst zur Blockliste werden, bevor es sich einfügen lässt.
• Cloud-Security-Groups und VPC-Regeln: AWS, Azure und GCP nehmen alle CIDR für Quell- und Zielbereiche, nie ein rohes Start–Ende-Paar.
• Route-Objekte und IRR- / RPKI-Einträge: Präfixe werden in CIDR registriert und gefiltert, eine als Bereich beschriebene Zuteilung muss also als ausgerichtete Blöcke ausgedrückt werden.
• Geo-IP-Feeds und Allow- / Deny-Listen: Sie werden häufig als Start–Ende-Bereiche veröffentlicht, und erst das Zusammenfassen zu CIDR macht sie in Routern und Firewalls ladbar.