Qu’est-ce qu’un bloc CIDR ? La notation expliquée

Un bloc CIDR est une plage d’adresses IP écrite sous la forme d’une adresse de base et d’une longueur de préfixe, comme 192.168.1.0/24, où le nombre après la barre oblique indique combien de bits de tête sont fixés pour identifier le réseau. CIDR signifie Classless Inter-Domain Routing, et c’est ainsi que les réseaux sont décrits dans les tables de routage, les règles de pare-feu et les groupes de sécurité cloud.

Comment lire la notation CIDR

Une adresse IPv4 compte 32 bits. Dans 192.168.1.0/24, le /24 signifie que les 24 premiers bits forment la partie réseau et que les 8 bits restants servent librement à identifier les hôtes. Ces 8 bits libres donnent 2^8 = 256 adresses, allant de 192.168.1.0 à 192.168.1.255. La règle fonctionne pour tout préfixe : la taille du bloc est 2 puissance (32 moins la longueur du préfixe).

• /8 fixe un octet et contient 16 777 216 adresses, par exemple 10.0.0.0/8.
• /16 fixe deux octets et contient 65 536 adresses, par exemple 172.16.0.0/16.
• /24 contient 256 adresses, et /32 est exactement une adresse.
• /0 est toutes les adresses, que vous verrez sous la forme 0.0.0.0/0 signifiant « n’importe où » dans les règles de pare-feu.

L’ancienne forme par masque de sous-réseau dit la même chose. Un /24 équivaut à 255.255.255.0, un /16 à 255.255.0.0, et un /20 à 255.255.240.0. Pour l’IPv6, la même idée s’applique à 128 bits ; 2001:db8::/32 fixe donc les 32 premiers bits.

Pourquoi CIDR a remplacé l’adressage par classes

Avant CIDR, les adresses étaient réparties en classes fixes : A, B et C, avec des préfixes de /8, /16 et /24. Une organisation ayant besoin de 2 000 adresses devait prendre une classe B de 65 536, en gaspillant la plus grande partie, ou plusieurs classes C, gonflant les tables de routage. CIDR autorise toute longueur de préfixe, de sorte qu’un /21 (2 048 adresses) peut être alloué avec précision. Il permet aussi de résumer des blocs voisins : deux /24 adjacents alignés sur une frontière peuvent être annoncés comme un seul /23, ce qui réduit la taille des tables de routage mondiales.

Alignement et adresses utilisables

Un bloc doit commencer sur une frontière adaptée à sa taille. Un /24 doit commencer à une adresse dont le dernier octet est 0 ; un /22 doit commencer à un multiple de 4 dans le troisième octet, comme 10.0.4.0/22. C’est pourquoi 10.0.3.0/22 n’est pas valide : il n’est pas aligné et les outils le rejetteront ou le normaliseront silencieusement à la vraie frontière. Dans les sous-réseaux ordinaires, la première adresse identifie le réseau et la dernière est l’adresse de diffusion ; un /24 offre donc 254 adresses d’hôte utilisables. Les fournisseurs cloud en réservent souvent plusieurs autres par sous-réseau ; vérifiez donc leurs règles avant de dimensionner.

Où l’on rencontre CIDR en pratique

Les pare-feu et les listes d’autorisation sont le cas le plus courant. Autoriser 203.0.113.0/24 permet 256 adresses avec une seule entrée. Le danger est d’être trop large : un /16 là où l’on voulait un /24 peut autoriser des dizaines de milliers d’hôtes sans rapport. Lorsque vous ne connaissez qu’une seule IP, trouver le bloc qui l’entoure est une étape de recherche, dont une partie peut se faire avec ipto. L’annuaire des plages IP permet de parcourir l’espace d’adressage par bloc /8 et /16, avec une ventilation par pays et par ASN pour chacun. La recherche d’ASN montre les plages attribuées à un réseau, et la recherche WHOIS d’IP renvoie le bloc enregistré via RDAP, ce qui vous indique la plage exacte que détient une organisation.

Les plages réservées sont aussi exprimées en CIDR. Les espaces privés tels que 10.0.0.0/8, 172.16.0.0/12 et 192.168.0.0/16, le bouclage 127.0.0.0/8 et le lien local 169.254.0.0/16 ne devraient jamais apparaître comme sources publiques. Le vérificateur de bogons IP vous dit si une adresse tombe dans l’une d’elles, et la recherche d’IP d’ipto renvoie les champs bogon et bogon_type dans le même but.

Le résumé fonctionne aussi dans l’autre sens : pour savoir si deux plages peuvent fusionner, vérifiez qu’elles ont la même taille, qu’elles sont adjacentes, et que la première commence sur une frontière du bloc combiné. Si l’une de ces conditions échoue, il vous faut deux entrées plutôt qu’une.

Erreurs courantes

• Confondre l’adresse de base avec un hôte. 192.168.1.0/24 décrit le réseau, pas un appareil.
• Bloquer toute une plage à cause d’une seule adresse. Un seul hôte abusif dans un bloc d’hébergement mutualisé ne rend pas hostile le /24 environnant, et le bloquer peut toucher des clients innocents.
• Oublier l’IPv6. Une règle écrite uniquement pour des plages IPv4 laisse le trafic IPv6 non filtré.

Pour une vérification rapide, comptez les bits d’hôte, élevez 2 à cette puissance et comparez avec ce que vous attendiez. La documentation de l’API montre comment récupérer les données de plages par programme.

Réponses directes