Verifica della sovrapposizione fra sottoreti — controlla se due blocchi CIDR si accavallano, gratis
Inserendo due notazioni CIDR IPv4, per esempio 192.168.1.0/24, lo strumento stabilisce automaticamente se i due intervalli coincidano, se uno contenga l'altro oppure se non si sovrappongano. Utile per verificare le sovrapposizioni nelle regole dei firewall e nella progettazione delle sottoreti in ambiente cloud.
Tipi di relazione fra sottoreti
Una tabella riassuntiva delle relazioni possibili fra due blocchi CIDR.
| Tipo di relazione | Esempio | Descrizione |
|---|---|---|
| Perfettamente coincidenti | 192.168.1.0/24 = 192.168.1.0/24 | I due blocchi indicano esattamente lo stesso intervallo di indirizzi e valgono come la stessa sottorete. |
| A contiene B | 192.168.0.0/16 ⊃ 192.168.1.0/24 | L'intervallo del CIDR A comprende interamente quello del CIDR B: B è una porzione della sottorete A. |
| B contiene A | 192.168.1.0/24 ⊂ 192.168.0.0/16 | L'intervallo del CIDR B comprende interamente quello del CIDR A: A è una porzione della sottorete B. |
| Sovrapposizione parziale | — | Questa condizione non può presentarsi. Poiché i blocchi CIDR sono allineati a potenze di due, due blocchi che si sovrappongono coincidono necessariamente oppure uno contiene l'altro (per i dettagli si veda la sezione delle domande frequenti). |
| Nessuna sovrapposizione | 192.168.1.0/24 ∩ 192.168.2.0/24 = ∅ | Gli intervalli dei due blocchi non si sovrappongono affatto: possono essere usati insieme senza conflitti. |
Per ricavare indirizzo di rete e di broadcast da un singolo indirizzo con la sua maschera c'è il calcolatore di sottoreti ; per convertire fra intervalli e notazione CIDR c'è lo strumento di conversione fra intervalli e CIDR .
Che cosa fa la verifica di sovrapposizione fra sottoreti
Questo strumento le dice se due reti scritte in notazione CIDR si sovrappongano come intervalli di indirizzi. Coppie quali 192.168.1.0/24 e 192.168.1.128/25 sfuggono facilmente all'occhio — la notazione differisce, eppure una è interamente contenuta nell'altra — e quella svista diventa l'origine di comportamenti sorprendenti nelle regole del firewall e nelle tabelle di instradamento.
La verifica espande ciascun CIDR nel suo indirizzo di rete e in quello di broadcast e chiede se i due intervalli si intersechino. L'esito è uno fra: identici, uno che contiene l'altro, oppure nessuna sovrapposizione. Poiché un blocco CIDR ha sempre una dimensione pari a una potenza di due e può iniziare solo a un multiplo di tale dimensione, due blocchi non possono mai sovrapporsi solo in parte. Nella progettazione degli indirizzi di VPC e di sale macchine, assegnare intervalli destinati a non collidere man mano che l'infrastruttura cresce è proprio il punto, il che rende questo strumento adatto alla fase di progetto. Tutto viene eseguito nel suo browser.
Come verificare la sovrapposizione
-
Inserisca il CIDR A
Usi una forma come
192.168.1.0/24. Il pulsante di esempio carica un modello al posto suo. - Inserisca il CIDR B Inserisca l'altra rete da confrontare, nella stessa forma.
- Esegua la verifica Entrambi gli intervalli di indirizzi vengono espansi e la loro relazione stabilita.
- Confronti gli intervalli Viene mostrato l'indirizzo iniziale e finale di ciascun CIDR, così può vedere da sé dove si incontrano.
Consigli per sfruttarlo al meglio
- È comodo per verificare, nelle regole dei firewall e nella progettazione delle sottoreti in ambiente cloud, di non aver definito due volte per errore lo stesso intervallo di indirizzi.
- La relazione in cui A contiene B è una configurazione normale, tipica di quando si ricava una piccola sottorete, per esempio un /24, all'interno di un'assegnazione più ampia, per esempio un /16. Non indica un problema.
- Nelle configurazioni cloud, quando si collegano due reti virtuali o si stabilisce una connessione VPN, blocchi sovrapposti rendono ambigui i percorsi e provocano errori di instradamento: verificate sempre prima di collegarle.
- Gli intervalli mostrati nel risultato sono riportati automaticamente all'indirizzo di rete e a quello di broadcast del blocco corrispondente, anche se l'indirizzo inserito non coincide esattamente con l'indirizzo di rete di quel prefisso.
Quando torna utile
Progettare le sottoreti di una VPC
Creando più VPC nel cloud, confermi che gli intervalli non collidano affinché il peering resti possibile in seguito.
Progettare una VPN fra sedi
Se la sede centrale e una filiale usano lo stesso intervallo privato, il traffico non passerà una volta alzato il tunnel. Lo verifichi prima di collegare.
Passare in rassegna le regole del firewall
Controlli se più regole insistano sullo stesso intervallo, o se una ne consenta uno più ampio del previsto.
Rivedere una tabella di instradamento
I prefissi più lunghi hanno la precedenza, perciò una rotta che ne contiene un'altra cambia il comportamento. Questo rende evidente la relazione.
I termini di rete spiegati
- Notazione CIDR
- Lo scrivere un indirizzo di rete e una lunghezza di prefisso separati da una barra, come in
192.168.1.0/24. - Lunghezza di prefisso
- Il numero che dice quanti bit iniziali formino la parte di rete. Più il numero è grande, più stretto è l'intervallo.
- Indirizzo di rete
- Il primo indirizzo dell'intervallo. Di norma identifica la rete stessa e non viene assegnato ad alcun apparato, ma su un collegamento punto-punto /31 (RFC 3021) entrambi gli indirizzi, compreso il primo, sono usati dagli apparati, e su un /32 l'unico indirizzo è quello dell'apparato stesso.
- Indirizzo di broadcast
- L'ultimo indirizzo dell'intervallo, usato per inviare a tutti gli apparati di quella rete. Un /31 (RFC 3021) e un /32 non hanno indirizzo di broadcast; il loro ultimo indirizzo è usato da un apparato.
- Contenimento
- La situazione in cui un intervallo cade per intero dentro un altro. Le combinazioni di
/24e/25la producono senza sforzo. - Spazio di indirizzi privati
- I tre intervalli
10.0.0.0/8,172.16.0.0/12e192.168.0.0/16, liberamente utilizzabili in seno a un'organizzazione. È proprio quella libertà a rendere tanto comuni le collisioni fra sedi.
Domande frequenti
A proposito — perché due blocchi CIDR non possono sovrapporsi parzialmente
Confrontando due blocchi CIDR si presentano soltanto tre casi — coincidenza perfetta, contenimento di uno nell'altro, nessuna sovrapposizione — e la condizione di sovrapposizione parziale, nel senso comune del termine, è matematicamente impossibile. Discende dal vincolo per cui un blocco CIDR ha sempre una dimensione pari a una potenza di due e può collocarsi soltanto in posizioni multiple di quella dimensione, cioè allineate.
Per coglierlo intuitivamente aiuta pensare all'insieme dei blocchi CIDR come a un albero binario. Prendendo come radice il /0 e immaginando che ogni nodo si divida in due figli, la prima e la seconda metà, a ogni incremento di un bit della lunghezza del prefisso, due blocchi qualsiasi possono trovarsi solo in tre relazioni: essere lo stesso nodo, essere uno antenato dell'altro oppure appartenere a rami del tutto distinti. Come su un albero i rami non si incrociano a metà percorso, così qui non può esistere una sovrapposizione parziale.
Grazie a questa proprietà l'aggregazione dei percorsi nelle tabelle di instradamento è sempre definita in modo netto. Se la sovrapposizione parziale fosse possibile, la domanda su quale percorso privilegiare per un pacchetto resterebbe intrinsecamente ambigua; la progettazione del CIDR esclude in radice quella situazione. Nella pratica, gran parte dei casi in cui l'instradamento si rompe nasce dall'aver ignorato il vincolo di allineamento e ritagliato a mano intervalli con confini fuori posto.