CIDR 从最大网段 `0.0.0.0/0` → 最小单个 IP `/32`完整梳理

CIDR 从最大网段 0.0.0.0/0 → 最小单个 IP /32完整梳理

IPv4 一共 32bit。 /N：N = 网络位；32‑N = 主机位；总 IP 数 = \(2^{(32‑N)}\)。

N 越小 → 网络位越少 → 网段越大；N 越大 → 网段越小，直到 / 32 等于单独 1 个 IP 总 IP 数包含网络地址 + 广播地址；普通网段可用主机 = 总 IP‑2（/31、/32 例外）

表格

CIDR	子网掩码	IP 范围	总 IP 数量	通俗含义	运维 / 阿里云安全组重点
0.0.0.0/0	0.0.0.0	0.0.0.0 ~ 255.255.255.255	4294967296	全世界全部 IPv4 地址	⚠️高危！安全组代表允许所有公网访问；生产非必要不要开。
0.0.0.0/8	255.0.0.0	0.0.0.0 ~ 255.255.255.255？不：0.0.0.0‑0.255.255.255	16777216	第一个 A 类大网段，第一段固定 0	极少用于安全组；多用于内网路由。
10.0.0.0/8	255.0.0.0	10.0.0.0‑10.255.255.255	16777216	私网 A 类段，阿里云 VPC 常用私网大网段	内网使用，不要放到公网安全组来源。
/16（例：10.1.0.0/16）	255.255.0.0	10.1.0.0‑10.1.255.255	65536	B 类网段，前两段固定	你前面的221.229.0.0/16就是此类；公网用这个安全组口子非常大。
/24（例：10.1.1.0/24）	255.255.255.0	10.1.1.0‑10.1.1.255	256	标准 C 类网段，前三段固定	最经典子网；可用主机 254 台。
/25（10.1.1.0/25）	255.255.255.128	10.1.1.0‑10.1.1.127	128	半个 C 段	把 / 24 对半切；另一半：10.1.1.128/25。
/26（10.1.1.0/26）	255.255.255.192	10.1.1.0‑10.1.1.63	64	1/4 个 C 段	你最初案例的网段大小；公网安全组常用小网段。
/27（10.1.1.0/27）	255.255.255.224	10.1.1.0‑10.1.1.31	32	1/8 个 C 段	更小，适合少量服务器放行。
/28（10.1.1.0/28）	255.255.255.240	10.1.1.0‑10.1.1.15	16	1/16 个 C 段	小规模主机。
/29（10.1.1.0/29）	255.255.255.248	10.1.1.0‑10.1.1.7	8	极小子网	可用 6 台主机。
/30（10.1.1.0/30）	255.255.255.252	10.1.1.0‑10.1.1.3	4	点对点链路	路由器互联；仅 2 个可用主机 IP。业务机器几乎不用。
/31（10.1.1.0/31）	255.255.255.254	10.1.1.0‑10.1.1.1	2	RFC3021 特殊点对点	无网络 / 广播地址，2 个 IP 全部可用；阿里云安全组几乎不用。
/32（10.1.1.5/32）	255.255.255.255	10.1.1.5‑10.1.1.5	1	单独一个 IP	✅安全组放行单个公网 IP 标准写法，最小权限首选。

上面示例用10.1.1.x，换成你的公网221.229.202.x逻辑完全一模一样。

一、变化规律（从最大 0.0.0.0/0 收缩到单个 IP /32）

1. /0：全部 42 亿 IPv4，主机位 32 位，网络位 0 位。
2. 斜杠 N 每 + 1：网络位 + 1，主机位‑1；总 IP 数量直接除以 2，网段缩小一半

/0  →4294967296
/1  →2147483648
/2  →1073741824
……
/16 →65536
/24 →256
/25 →128
/26 →64
/27 →32
/28 →16
/29 →8
/30 →4
/31 →2
/32 →1  单个IP

二、分段理解网络位的意义

IPv4 = 32 位二进制，拆成 4×8bit。

1. /0：0 位网络位，32 位全部主机位 → 所有 IP
2. /8：前 8 位固定（第一段 a 固定） → a.*.*.*
3. /16：前 16 位固定（前两段 a.b 固定） → a.b.*.*
4. /24：前 24 位固定（前三段 a.b.c 固定） → a.b.c.*
5. ≥/25：前 24 位固定，第四段内部再切分
   • /25：第四段最高 1bit 做网络位
   • /26：第四段最高 2bit 做网络位
   • ……
   • /32：32 位全部网络位，主机位 0，只剩 1 个 IP。

三、关键坑点（阿里云安全组高频踩坑）

1. 0.0.0.0/0 = 任意来源 IP，公网全开，生产环境尽量避免。
2. /32才是单个 IP；只写221.229.202.10不带/32，部分防火墙会报错，阿里云会自动补全，但规范写法带上/32。
3. 网段起始地址必须对齐：
   • 比如221.229.202.70/26，系统会自动规整为网段221.229.202.64/26，不是 0‑63。
   • 建议直接写网段起始 IP，不要写中间 IP。
4. 包含关系举例： 221.229.202.10/32 ⊂ 221.229.202.0/26 ⊂ 221.229.202.0/24 ⊂ 221.229.0.0/16 ⊂ 0.0.0.0/0

四、安全组选型口诀

• 只放通一台服务器 IP：IP/32
• 一小撮连续 IP：/27 /26
• 尽量不要直接 /24 /16
• 万不得已才用0.0.0.0/0

五、实操小例子

IP：221.229.202.50

• 属于0.0.0.0/0 ✔
• 属于221.229.0.0/16 ✔
• 属于221.229.202.0/24 ✔
• 属于221.229.202.0/26 ✔
• 不属于221.229.202.64/26 ❌
• 不等于221.229.202.51/32 ❌