CIDR 记法详解

1993 年之前，IPv4 地址的大小由它的前几个比特决定。第一个字节以 0 开头表示 A 类、有 16,777,216 个地址；以 10 开头表示 B 类、有 65,536 个地址；以 110 开头表示 C 类、有 256 个地址。边界是硬性的，中间任何尺寸都申请不到。

两个问题交织在一起。第一是浪费：一个需要 2,000 个地址的组织不得不申请一个 B 类，然后空着 63,000 个不用。第二是路由表膨胀：每一个 A、B、C 类分配都会变成全局路由表里的一条独立条目，与它的大小无关。

CIDR 去掉了固定边界，改用显式的前缀长度。一个需要 1,000 个地址的网络现在就是 /22 —— 1,024 个地址，浪费 4% 而不是 98%。由此带来两个结果，也正是这次变革的目的。

• 地址空间利用更高效。分配可以按需求定尺寸，而不必往上取到最近的类别，地址空间因此能用得久得多。
• 路由聚合。因为地址不再与类别边界绑定，一个持有 203.0.112.0/21 的运营商可以用一条路由通告它全部的八个 /24。正是聚合让全局路由表在 1990 年代保持可控，也是今天互联网仍能扩展的原因。

192.168.1.0/24
前缀长度     24
子网掩码     255.255.255.0
通配符掩码   0.0.0.255
反向写法     192.168.1.0 0.0.0.255  （Cisco ACL 语法）

一旦记住最后一个字节的数列，就完全不必从头数位。比 /24 长的前缀只会涉及第四个字节，而掩码值遵循一个固定数列。

规律是每走一步网络部分就多一位，掩码字节因此获得下一个位权：先 128，再 64，再 32，依此类推。把 /27 读成 224，靠的是认出这个数列，而不是做算术。

前缀长度必须是连续的一段比特，原因在于路由器靠"匹配到的最长前缀"来消除歧义。设想一台路由器上有三条路由：

10.0.0.0/8        via 192.0.2.1
10.1.0.0/16       via 192.0.2.2
10.1.2.0/24       via 192.0.2.3

目的地址 10.1.2.55 与三条都匹配。
最长匹配胜出 -> 10.1.2.0/24 via 192.0.2.3

这正是能从一条宽泛的汇总路由里挖出一个特例的原因。/8 承载大部分流量；/24 为某一个子网提供更精确的路径，而不必把 /8 拆散。如果掩码可以是不连续的，就没有哪个单一数字能表达"精确程度"，整个算法也会失效。

• 路由表。每一条路由都是一个前缀加一个下一跳。默认路由是 0.0.0.0/0，出现在每一台路由器的表中。
• 防火墙规则。源与目的地址范围都写成前缀，而前缀的选择直接决定了会匹配到多少流量。
• 云网络。VPC 与 VNet 的地址范围都用 CIDR 块指定，子网从其中划分 —— 也就是说，前缀算术直接决定你的子网到底装不装得下。
• 厂商配置。接口地址、OSPF network 语句与路由汇总都用前缀，而 Cisco ACL 用的是同一信息的通配符写法。
• IPv6。同一套记法适用于 /0 到 /128，而 /64 —— 标准子网尺寸 —— 实在太常见，以至于 IPv6 划分子网通常问的是"一个分配里能装多少个 /64"，而不是掩码问题。

• 写了一个不是网络地址的地址。192.168.1.5/24 记法上合法，但网络是 192.168.1.0/24。多数系统会接受并归一化前一种写法，但在文档里这样写会误导人。
• 以为数字越大网络越大。/28 比 /24 小。这个数字数的是网络位，位越多主机地址越少。
• 把前缀和掩码搞混。/24 不是"24 台主机" —— 它是 24 个网络位和 254 个可用主机。匆匆阅读时这两个数字很容易看串。
• 使用不连续的掩码。255.255.0.255 看起来像模像样，但它不合法，也无法表示为前缀长度，所以没有任何路由器会接受它。