¿Qué es un bloque CIDR? Notación explicada
Un bloque CIDR es un rango de direcciones IP escrito como una dirección base y una longitud de prefijo, como 192.168.1.0/24, donde el número tras la barra indica cuántos bits iniciales están fijados para identificar la red. CIDR significa Classless Inter-Domain Routing (enrutamiento entre dominios sin clases), y es como se describen las redes en las tablas de enrutamiento, las reglas de cortafuegos y los grupos de seguridad de la nube.
Cómo leer la notación CIDR
Una dirección IPv4 tiene 32 bits. En 192.168.1.0/24, el /24 significa que los primeros 24 bits son la parte de red y los 8 bits restantes quedan libres para identificar hosts dentro de ella. Esos 8 bits libres dan 2^8 = 256 direcciones, que van de 192.168.1.0 a 192.168.1.255. La regla sirve para cualquier prefijo: el tamaño del bloque es 2 elevado a (32 menos la longitud del prefijo).
/8fija un octeto y contiene 16.777.216 direcciones, por ejemplo10.0.0.0/8./16fija dos octetos y contiene 65.536 direcciones, por ejemplo172.16.0.0/16./24contiene 256 direcciones, y/32es exactamente una dirección./0es todas las direcciones, que verás como0.0.0.0/0con el significado de «cualquier lugar» en las reglas de cortafuegos.
La forma antigua de máscara de subred dice lo mismo. Un /24 equivale a 255.255.255.0, un /16 equivale a 255.255.0.0 y un /20 equivale a 255.255.240.0. En IPv6 se aplica la misma idea a 128 bits, de modo que 2001:db8::/32 fija los primeros 32 bits.
Por qué CIDR sustituyó al direccionamiento con clases
Antes de CIDR, las direcciones se dividían en clases fijas: A, B y C, con prefijos de /8, /16 y /24. Una organización que necesitaba 2.000 direcciones tenía que tomar una clase B con 65.536, desperdiciando la mayor parte, o varias clases C, inflando las tablas de enrutamiento. CIDR permite cualquier longitud de prefijo, de modo que un /21 (2.048 direcciones) puede asignarse con precisión. También permite resumir bloques vecinos: dos /24 adyacentes que se alinean en un límite pueden anunciarse como un solo /23, lo que mantiene más pequeñas las tablas de enrutamiento globales.
Alineación y direcciones utilizables
Un bloque debe empezar en un límite que se ajuste a su tamaño. Un /24 debe comenzar en una dirección cuyo último octeto sea 0; un /22 debe comenzar en un múltiplo de 4 en el tercer octeto, como 10.0.4.0/22. Por eso 10.0.3.0/22 no es válido: no está alineado y las herramientas lo rechazarán o lo normalizarán en silencio al límite real. En las subredes normales, la primera dirección identifica la red y la última es la dirección de difusión, de modo que un /24 ofrece 254 direcciones de host utilizables. Los proveedores de nube suelen reservar varias más por subred, así que revisa sus reglas antes de dimensionar.
Dónde te encuentras CIDR en la práctica
Los cortafuegos y las listas de permitidos son el caso más habitual. Permitir 203.0.113.0/24 autoriza 256 direcciones con una sola entrada. El peligro es ser demasiado amplio: un /16 donde se pretendía un /24 puede permitir decenas de miles de hosts sin relación. Cuando solo conoces una IP, encontrar el bloque que la rodea es un paso de investigación, y parte de él se puede hacer con ipto. El directorio de rangos IP te permite explorar el espacio de direcciones por bloques /8 y /16, con un desglose de países y ASN para cada uno. La búsqueda de ASN muestra los rangos atribuidos a una red, y la búsqueda WHOIS de IP devuelve el bloque registrado mediante RDAP, que te indica el rango exacto que posee una organización.
Los rangos reservados también se expresan en CIDR. El espacio privado, como 10.0.0.0/8, 172.16.0.0/12 y 192.168.0.0/16, el bucle local 127.0.0.0/8 y el enlace local 169.254.0.0/16 nunca deberían aparecer como orígenes públicos. El verificador de IP bogon te dice si una dirección cae en alguno de ellos, y la consulta de IP de ipto devuelve los campos bogon y bogon_type con el mismo fin.
El resumen también funciona a la inversa: para ver si dos rangos pueden fusionarse, comprueba que tienen el mismo tamaño, que son adyacentes y que el primero empieza en un límite del bloque combinado. Si falla cualquiera de las dos condiciones, necesitas dos entradas en lugar de una.
Errores comunes
- Confundir la dirección base con un host.
192.168.1.0/24describe la red, no un dispositivo. - Bloquear un rango entero por una sola dirección. Un único host abusivo en un bloque de alojamiento compartido no vuelve hostil al /24 que lo rodea, y bloquearlo puede afectar a clientes inocentes.
- Olvidar IPv6. Una regla escrita solo para rangos IPv4 deja sin filtrar el tráfico IPv6.
Para una comprobación rápida, cuenta los bits de host, eleva 2 a esa potencia y compáralo con lo que esperabas. La documentación de la API muestra cómo obtener datos de rangos mediante programación.