修改防火墙规则前先检查 IPv4 CIDR 边界

拿到什么地址和前缀，就按原样去计算真实的网络边界，不要依赖“我记得这个子网大概是这样”的印象。像 192.168.1.42/27 这样的地址，并不表示规则应从 .42 开始，而是说明它属于 192.168.1.32/27 这个网段。

这一步能先挡住最常见的边界错误，避免它流进防火墙工单或基础设施评审。

边界明确之后，再看首个和最后一个可用主机地址。这样你才能判断这个规则实际会覆盖哪些设备，以及它是否比团队本来的意图更宽。如果请求说“只放开这台服务器”，但对应 CIDR 实际打开了一个更大的范围，就应该在这里停下来并追问归属和意图。

这种沟通在修改前发生，成本远低于事后做暴露审查。

如果规则下发之后流量仍然失败，也不要因为请求超时或报错就立刻认定 CIDR 算错了。此时应该先分清是网络可达性问题，还是服务行为问题。查看返回的 HTTP 失败类型，通常可以帮助你判断眼前是连通性、认证，还是应用层故障。

这样能避免团队在真正问题出在服务层时，又继续把规则越放越宽。