基于Python ipaddress模块实现IP网段合并与重叠子网剔除

本文由Gemini辅助撰写，示例代码已在Linux Python 3环境执行验证。

在构建网络自动化配置、防火墙访问控制列表（ACL）优化以及路由表维护工具时，处理庞大且散乱的IP地址段列表是常见需求。直接下发未经简化的子网列表往往会导致路由表膨胀，或者因存在被父网完全覆盖的冗余子网而浪费系统检索性能。Python内置的标准库模块 ipaddress 提供了高效、可靠的离线计算接口，其中 ipaddress.collapse_addresses() 函数专门用于对IP网段集合进行规范化收敛，自动剔除包含在更大网段中的重叠子网，并在满足二进制边界的前提下合并相邻网段。

核心概念与合并原理

ipaddress.collapse_addresses() 接收一个由可迭代的 IP 网络对象（IPv4Network 或 IPv6Network）构成的序列，返回一个生成器，生成收敛后的最优网段集合。其处理逻辑主要包含两个维度：

1. 包含关系消除：若集合中同时存在超网（如 10.0.0.0/16）及其内部派生的子网（如 10.0.1.0/24），函数会识别出包含关系，仅保留范围更广的超网对象，消除冗余子网。
2. 连续网段聚合（Supernetting）：当两个相邻网段的前缀长度相同，且它们在二进制表示上能够完美合并为更高一级的超网时，函数会将其合并为一个前缀长度减 1 的新网段。需要注意的是，相邻并不等同于可合并，两个网段必须严格位于二进制掩码对齐的自然边界上。例如，172.16.0.0/24 与 172.16.1.0/24 可以合并为 172.16.0.0/23；而 192.168.1.0/24 与 192.168.2.0/24 虽然网络地址数值相邻，但因第三字节分别为 00000001 和 00000010，无法对齐在 /23（需要最后一位为偶数对齐）的边界上，因此保持独立。

完整验证代码

以下代码展示了重叠子网剔除、自然对齐网段合并以及异构IP版本输入校验的完整逻辑：

import ipaddress

candidate_networks = [
    ipaddress.ip_network("192.168.1.0/24"),
    ipaddress.ip_network("192.168.1.128/25"),
    ipaddress.ip_network("192.168.2.0/24"),
    ipaddress.ip_network("10.0.0.0/16"),
    ipaddress.ip_network("10.0.1.0/24"),
    ipaddress.ip_network("10.0.2.0/24"),
]

# 1. 消除被父网包含的重叠子网，并合并连续可聚合的网段
collapsed_list = list(ipaddress.collapse_addresses(candidate_networks))

# 验证子网 192.168.1.128/25 被 192.168.1.0/24 吸收，不单独存在
assert ipaddress.ip_network("192.168.1.128/25") not in collapsed_list
assert ipaddress.ip_network("192.168.1.0/24") in collapsed_list

# 验证 10.0.1.0/24 和 10.0.2.0/24 均被超网 10.0.0.0/16 吸收
assert ipaddress.ip_network("10.0.1.0/24") not in collapsed_list
assert ipaddress.ip_network("10.0.2.0/24") not in collapsed_list
assert ipaddress.ip_network("10.0.0.0/16") in collapsed_list

# 验证未达到更高位掩码对齐边界的相邻网段不会被错误合并
# 192.168.1.0/24 与 192.168.2.0/24 在第三字节最后一位不同，无法对齐成 /23
assert ipaddress.ip_network("192.168.2.0/24") in collapsed_list

# 2. 验证位于二进制自然对齐边界的相邻网段精确合并
aligned_pairs = [
    ipaddress.ip_network("172.16.0.0/24"),
    ipaddress.ip_network("172.16.1.0/24"),
]
merged_result = list(ipaddress.collapse_addresses(aligned_pairs))
assert len(merged_result) == 1
assert merged_result[0] == ipaddress.ip_network("172.16.0.0/23")

# 3. 跨IP版本（IPv4与IPv6）混合合并时必须拒绝并抛出TypeError
mixed_inputs = [
    ipaddress.ip_network("192.168.1.0/24"),
    ipaddress.ip_network("2001:db8::/32"),
]
type_error_caught = False
try:
    collapsed_mixed = list(ipaddress.collapse_addresses(mixed_inputs))
except TypeError:
    type_error_caught = True

assert type_error_caught is True

print("MATERIAL_OK")

执行结果说明

上述脚本在标准 Python 3 环境下执行后，标准输出如下：

MATERIAL_OK

这表明所有断言均成功通过：

1. 192.168.1.128/25 确已被 192.168.1.0/24 完全覆盖并自动剔除；
2. 嵌套在 10.0.0.0/16 内部的 10.0.1.0/24 和 10.0.2.0/24 被全部清理，结果列表仅保留最外层父网；
3. 172.16.0.0/24 与 172.16.1.0/24 符合二进制掩码聚合要求，成功向上汇聚为 172.16.0.0/23；
4. 尝试向生成器传入包含 IPv4 和 IPv6 混合类型的集合时，程序如期捕获 TypeError。

边界限制与排查建议

在实际生产脚本中集成网段合并功能时，需要注意以下边界与排查事项：

1. 离线处理约束：ipaddress 模块纯粹基于位运算与网络定义规范进行计算，整个过程不发起任何外部网络通信，也不校验网段在现网中是否真实可达。
2. 协议版本一致性：collapse_addresses 要求输入迭代器中的所有对象必须属于相同的 IP 版本。如果输入源包含混合来源的字符串，必须在调用前使用 isinstance(net, ipaddress.IPv4Network) 或网段的 version 属性进行分组，否则在生成器迭代过程中会抛出 TypeError。
3. 网段严格性校验（Strict CIDR）：在通过 ipaddress.ip_network() 构造输入对象时，默认参数 strict=True 会阻止非零主机位的掩码格式（如 192.168.1.1/24 会直接触发 ValueError）。如果输入源包含带主机位的地址，应显式传入 strict=False 以便自动截断为主机位归零的网段对象，再提交合并。
4. 生成器惰性求值：collapse_addresses 返回的是迭代器对象而非列表。在需要重复访问、计算长度或序列化为 JSON 时，应显式使用 list() 进行消费。

官方文档参考：
Python 3 官方文档（对应模块与章节）