CIDR 白名单检查：覆盖所需 IP，避免扩大地址范围
复制 IP 白名单前，先核对子网边界与 CIDR 聚合结果。通过需要两个地址块的连续范围示例，检查是否无意包含额外地址。
单个地址和整个网络差在哪里
将 192.168.1.34 写成 192.168.1.34/24，表达的已经不是一台主机，而是包含它的整个 /24 网络。复制配置时，地址和前缀应作为一个整体审阅。
只需要一台主机时，先检查目标系统是否要求 /32。需要一个范围时，把起止地址列出来，再转换为 CIDR，通常比猜一个掩码更容易核对。
用边界来审阅结果
计算得到网络后，查看第一个和最后一个地址。再拿一个已知应该包含的地址和一个不该包含的地址，分别做归属检查。
这个步骤不能替代防火墙平台的规则预览，但能提前发现常见的前缀错误。尤其是跨网段的连续范围，最精确的结果可能是多条 CIDR，而不是一条。
整理列表时不要扩大授权
合并 CIDR 的目标是保持地址集合相同，只减少表达数量。相邻且完整覆盖的两个 /25 可以合成 /24；不完整覆盖时，扩大前缀会额外包含地址。
Neatbo 的范围和合并工具只做本地数学运算。它不会探测主机，也不会把计算结果应用到设备。保存原清单与转换结果，便于后续对照。
一个不能用单块精确表示的范围
假设目标范围是 192.168.1.0 到 192.168.1.191。若写成 /24，还会包含 .192 到 .255。精确覆盖需要 192.168.1.0/25 加 192.168.1.128/26；多写一条规则是为了不扩大范围。
分别测试端点 .0、.191，以及应被排除的 .192，网段归属结果应与预期集合一致。然后继续检查目标系统的规则顺序、默认动作和地址族处理；仅靠地址运算，无法判断最终策略会允许什么。
保留原始列表与规范化后的版本，方便审核者对照。工具不会连接地址或应用配置，归属检查通过也不等于获得修改网络策略的授权。
| 地址块 | 覆盖范围 | 地址数量 |
|---|---|---|
| 192.168.1.0/25 | .0–.127 | 128 |
| 192.168.1.128/26 | .128–.191 | 64 |
| 合计 | .0–.191 | 192 |
| 192.168.1.0/24 | .0–.255 | 256：超出目标范围 |
192.168.1.0/25
192.168.1.128/26完成前的检查清单
- 转换前写下目标起止地址。
- 除了包含的样例，也测试应排除的相邻地址。
- 不要把 IPv4 可用主机规则直接套用到 IPv6。
- 通过正常的变更流程审查并应用配置。
参考资料
- RFC 4632：CIDR
提供地址块与聚合的背景；应用规则仍需按目标系统审查策略。