Ansible：基于IP子网判断执行操作的更优实现及问题排查

现有代码的疏漏 #

1. 条件判断逻辑错误：你把shell命令的返回码和输出搞混了——check_ip.stdout是命令的输出内容（字符串类型），判断命令是否匹配成功应该用返回码check_ip.rc，而且判断相等要用==，不是=。原代码里when: check_ip.stdout = 0完全不成立，因为stdout不可能是数字0。
2. 正则匹配不严谨：egrep '10.50.0.|10.77.12.'里的.是正则通配符，会匹配任意字符，比如会错误命中10.50.01.23或10.77.129.45这类不在目标子网的地址，即便把.转义成\.，这种字符串匹配也不如专业的IP子网校验可靠。
3. 依赖外部命令不可靠：调用ip和egrep依赖目标主机的环境，如果主机没有这些命令（比如某些极简系统），任务会直接失败。Ansible本身内置了IP相关的事实变量，完全不需要额外调用shell。
4. 边界情况未覆盖：如果ip命令执行失败（比如权限问题），check_ip.rc既不是0也不是1，此时两个when条件都不满足，会出现任务完全不执行的情况，并非你预期的“必然有一个触发”。

更优雅的实现方案 #

利用Ansible内置的IPv4事实变量和**ipaddr过滤器**来实现严谨的子网判断，完全不需要依赖外部命令，逻辑清晰且跨平台。

方案1：基于默认路由IP判断 #

如果只需要检查主机默认网卡的IP是否在目标子网：

---
- name: 根据子网执行对应操作
  hosts: "{{ myhosts }}"
  remote_user: user
  become: yes
  vars:
    # 定义目标子网（用CIDR格式，根据实际子网掩码调整）
    target_subnets:
      - "10.50.0.0/24"
      - "10.77.12.0/24"

  tasks:
    - name: 主机在目标子网内时执行操作1
      debug:
        msg: "执行子网专属操作1"
      when: ansible_default_ipv4.address | ipaddr(target_subnets)

    - name: 主机不在目标子网内时执行操作2
      debug:
        msg: "执行通用操作2"
      when: not (ansible_default_ipv4.address | ipaddr(target_subnets))

方案2：基于所有网卡IP判断 #

如果只要主机有任意一个IP在目标子网就执行对应操作：

---
- name: 根据子网执行对应操作
  hosts: "{{ myhosts }}"
  remote_user: user
  become: yes
  vars:
    target_subnets:
      - "10.50.0.0/24"
      - "10.77.12.0/24"

  tasks:
    - name: 存在目标子网IP时执行操作1
      debug:
        msg: "执行子网专属操作1"
      when: ansible_all_ipv4_addresses | select('ipaddr', target_subnets) | list | length > 0

    - name: 无目标子网IP时执行操作2
      debug:
        msg: "执行通用操作2"
      when: ansible_all_ipv4_addresses | select('ipaddr', target_subnets) | list | length == 0

方案优势 #

• 逻辑严谨：ipaddr过滤器专门处理IP地址和子网，会严格按照CIDR规则校验，不会出现字符串匹配的误判。
• 无需外部依赖：直接用Ansible自动收集的事实变量，不需要在目标主机上执行额外命令，兼容性更强。
• 可读性强：代码逻辑一目了然，后续维护成本低。
• 覆盖边界情况：如果Ansible无法收集到IP事实，会提前抛出错误，避免出现任务静默不执行的问题。

内容的提问来源于stack exchange，提问作者Сергей