Python address_exclude：从网段扣掉一块，为什么剩下的不能总写成一个 CIDR
整理地址分配清单时，一个大网段中间有一块已经被占用，希望把其余部分交给后续规划。剩余地址数量可以直接相减，但数量本身不能表达哪些位置留下。CIDR同时约束前缀边界和连续范围，扣除结果往往需要多个网段。
本文只用文档示例地址192.0.2.0/28做内存运算，没有请求网络或修改路由。代码在CPython 3.12.14执行。保存为demo.py，运行python3 demo.py；完整集合检查仅枚举十六个地址，便于逐个核对。
AI模型生成概念插图：大地址区域去掉一块后，余下部分以不同大小的独立色块表示；色块用于解释分段，不是真实网络配置截图。
完整程序与本地结果
完整可运行程序
from ipaddress import ip_network
from itertools import combinations
base = ip_network("192.0.2.0/28")
removed = ip_network("192.0.2.4/30")
parts = sorted(base.address_exclude(removed))
assert [str(part) for part in parts] == ["192.0.2.0/30", "192.0.2.8/29"]
assert all(part.subnet_of(base) and not part.overlaps(removed) for part in parts)
assert all(not left.overlaps(right) for left, right in combinations(parts, 2))
assert sum(part.num_addresses for part in parts) + removed.num_addresses == base.num_addresses
assert {address for part in parts for address in part} == set(base) - set(removed)
print("remaining CIDRs:", [str(part) for part in parts])
print("address counts:", base.num_addresses, "-", removed.num_addresses,
"=", sum(part.num_addresses for part in parts))
print("exact membership verified:", True)
assert list(base.address_exclude(base)) == []
print("remove entire network:", list(base.address_exclude(base)))
try:
list(base.address_exclude(ip_network("192.0.2.16/30")))
except ValueError:
print("outside network: ValueError")
else:
raise AssertionError("outside network was accepted")本地实际输出（以下内容为程序结果）
remaining CIDRs: ['192.0.2.0/30', '192.0.2.8/29'] address counts: 16 - 4 = 12 exact membership verified: True remove entire network: [] outside network: ValueError
先看地址位置，再看数量
base包含末段0至15的十六个地址，removed覆盖4至7。程序把返回结果排序后得到192.0.2.0/30和192.0.2.8/29，分别覆盖0至3、8至15。两个区间合计十二个地址，但中间存在被扣掉的四个位置。
若为了省一行把剩余结果重新概括成原来的/28，被排除的地址就会被加回来；若只保存数量12，又丢失了起点与缺口。address_exclude返回网络对象迭代器，调用者应保留全部结果，而不是只取第一个网段。
用三层检查验证扣除结果
第一层检查每个结果都是base的子网，并且与removed不重叠。第二层检查结果两两互斥，避免重复计数。第三层核对总地址数：剩余数加被扣除数应等于原数。单独通过数量检查并不充分，因为错位与重复也可能碰巧凑出相同总数。
本例进一步枚举这个很小的输入，把结果地址集合与set(base)减set(removed)作精确比较。这份断言直接验证保留成员，而不是只验证打印字符串。对于很大的IPv4块或IPv6范围，不应照搬全集枚举；应保持前缀和区间层面的验证。
完整扣除与无交集必须分别处理
扣掉base自身时，返回空列表，含义是没有剩余地址；这是一种有效结果。传入192.0.2.16/30时，程序捕获ValueError，因为该网段并不完全包含在base里。API要求被排除网段完整位于当前网段中，不会把任意段外输入悄悄当作无需处理。
面向地址规划界面，可以在调用前检查版本、包含关系和输入格式，再把无交集、完全相同、真正子网作为不同业务状态提示。若要从多个基础块中扣除多项，应先规定交集处理策略，对每一轮剩余块继续处理，不能假设一次调用接受任意网段集合。
地址数量不等于可分配主机数量
程序使用num_addresses和直接迭代网络对象，统计的是前缀覆盖的全部地址。它没有调用hosts来过滤通常保留的网络地址和广播地址。因此输出的16减4等于12是地址集合算术，不能直接宣称还剩十二台主机可以配置。
实际可分配规则还取决于网段用途、平台约束和保留地址政策。这里也不判断路由可达、ACL优先级或配置是否生效。将计算出的多段CIDR交给其他系统之前，应先核对目标支持的条目数量与规则含义，并另行审阅配置变更。
补齐容易遗漏的验收条件
示例先将迭代器转成列表再排序，因而输入错误与剩余结果都在当前步骤被实际求值。只创建迭代器却不消费，不足以证明后面的处理能够成功。排序用来稳定展示结果；业务判断基于成员和包含关系，不应依赖库恰好按什么次序产出片段。
ip_network在默认严格模式下要求输入确实是网络地址。若用户填入带主机位的文本，应明确决定拒绝还是按产品契约归一化，不能为了让扣除函数运行就无声扩大用户提交的范围。IPv4与IPv6也应分别处理，不能只比较字符串前缀。
生成地址清单时，可以同时保存基础网段、扣除网段、结果列表与检查结论，便于解释某一地址为什么没有出现在可用范围。若后来更改排除条件，应重新计算剩余集合，避免在已经切开的文本列表上手工删改，留下重叠或遗漏。
参考资料
资料核验日期：2026年10月2日。以上输出来自固定输入的本地实跑，退出码为0。
