Calculadora de Subred

Qué es un prefijo

Una dirección IPv4 tiene 32 bits. La longitud de prefijo tras la barra indica cuántos de esos bits identifican la red, y el resto identifica un host dentro de ella. Un /24 fija los primeros 24 bits y deja 8 para hosts, es decir, 256 direcciones; cada paso hacia abajo en el prefijo duplica el bloque, así que un /23 son 512 direcciones y un /16, 65.536.

La máscara de red es la misma información escrita como dirección: 24 unos seguidos de 8 ceros es 255.255.255.0. Tiene que ser una secuencia continua de unos - eso es lo que convierte la división en una única frontera y no en bits dispersos - y por eso 255.255.0.255 no es una máscara. Una calculadora que la redondea en silencio a la máscara válida más cercana oculta precisamente el error de configuración que estabas buscando.

La máscara wildcard es la máscara de red invertida, y existe porque las listas de acceso de Cisco y OSPF se escriben en función de los bits que pueden variar, no de los que están fijos. 0.0.0.255 es la wildcard de un /24. Se muestran las dos porque cuál necesitas depende por completo de lo que estés configurando.

Merece la pena leer la fila en binario al menos una vez. Crear subredes es trazar una frontera a lo largo de 32 bits, y verla dibujada suele ser más rápido que razonar en decimal con puntos.

Los rangos que conviene reconocer

La RFC 1918 reserva tres bloques IPv4 para uso privado que no se enrutan en internet: 10.0.0.0/8, 172.16.0.0/12 - ojo, va de 172.16 a 172.31, no todo el 172 - y 192.168.0.0/16. Casi cualquier red interna que encuentres está recortada de uno de ellos.

Hay otros que aparecen lo bastante a menudo como para reconocerlos a simple vista. 100.64.0.0/10 es el CGNAT, que se usa entre los clientes de un proveedor y sus propios routers, y aparece en redes domésticas más de lo que se suele pensar. 169.254.0.0/16 es link-local, autoasignado cuando falla DHCP, así que una dirección en ese rango suele ser un síntoma y no una configuración. 127.0.0.0/8 es loopback: todo el /8, no solo 127.0.0.1. 224.0.0.0/4 es multidifusión, y 255.255.255.255 es la dirección de difusión limitada.

Para documentación y ejemplos, la RFC 5737 reserva tres bloques - 192.0.2.0/24, 198.51.100.0/24 y 203.0.113.0/24 -, que son los que hay que usar en un diagrama o un artículo en lugar de elegir una dirección que pertenece a alguien.

Dividir una red

Dividir un bloque significa desplazar la frontera hacia la derecha. Un /24 dividido en cuatro da cuatro /26 de 64 direcciones cada uno; dividido en dos, dos /25 de 128. La cuenta es siempre la misma porque el prefijo es siempre una potencia de dos, y esa es también la limitación: no puede haber una subred de 100 direcciones, solo de 64 o de 128.

VLSM (máscaras de subred de longitud variable) consiste en dimensionar cada subred según lo que va a contener, en lugar de cortarlo todo igual. Un enlace punto a punto entre dos routers necesita dos direcciones, así que recibe un /31 o un /30; una VLAN de usuarios con 60 dispositivos recibe un /26; un segmento de servidores que se espera que crezca recibe un /24. Hacerlo bien consiste sobre todo en dejar margen: renumerar una subred que se ha quedado pequeña implica tocar cada dispositivo, cada regla de firewall y cada entrada estática que la mencione.

Ayuda asignar en fronteras que se puedan resumir. Si todo lo de una sede cabe en un único /20, el resto de la red necesita una ruta para llegar a ella en lugar de dieciséis, y esa diferencia se acumula en una infraestructura grande.

IPv6 no es IPv4 con más dígitos

La aritmética es la misma, pero las premisas de diseño no, así que los hábitos heredados de IPv4 suelen producir redes IPv6 incómodas.

El /64 es el tamaño estándar de subred, siempre, tenga los hosts que tenga. La autoconfiguración sin estado (SLAAC) depende de 64 bits de host, así que dividir por debajo de /64 la rompe y solo tiene sentido en enlaces punto a punto, sabiendo a qué renuncias. A una sede se le suele asignar un /48 o un /56, es decir, 65.536 o 256 subredes; la intención es que no tengas que volver a pensar en ahorrar direcciones y puedas asignar un /64 por VLAN sin contar.

No hay dirección de difusión; de sus funciones se encarga la multidifusión. Nada dentro del prefijo está reservado, así que un /64 contiene realmente 18.446.744.073.709.551.616 direcciones utilizables, y la costumbre de restar dos no se aplica. Y NAT no forma parte del modelo: los hosts tienen direcciones enrutables globalmente y la accesibilidad es una decisión del firewall, lo cual es un cambio de mentalidad, no de aritmética.

Dividir un /24 para una oficina pequeña

Supongamos que tienes 192.168.10.0/24 y cuatro cosas que acomodar: unos 50 dispositivos del personal, una docena de servidores, algunas impresoras y cámaras, y dos enlaces punto a punto hacia routers de sucursales. El instinto es partir el bloque en cuatro /26 iguales, lo que desperdicia la mayor parte y no deja margen donde hace falta.

La división en subredes de longitud variable funciona mejor. Asigna a la VLAN del personal 192.168.10.0/26, que son 62 direcciones utilizables. A los servidores dales 192.168.10.64/27, con 30 utilizables y espacio para duplicarse. Coloca las impresoras y cámaras en 192.168.10.96/27, ya que mantenerlas fuera de la red de usuarios simplifica las reglas del firewall. Con eso, 192.168.10.128/25 queda completamente libre, y los dos enlaces pueden tomar /30 desde el extremo superior - 192.168.10.252/30 y 192.168.10.248/30 - dejando el medio abierto.

La razón para dejar el hueco en lugar de apretarlo todo es que renumerar más adelante implica tocar cada dispositivo, cada ámbito de DHCP, cada regla de firewall y cada entrada estática. El espacio de direcciones dentro de un rango privado es gratis; un fin de semana de renumeración no lo es.

Qué hace un router con estos prefijos

Una tabla de enrutamiento es una lista de prefijos y saltos siguientes, y la regla para elegir entre ellos es la coincidencia del prefijo más largo: gana la ruta más específica que contiene el destino. Un paquete hacia 10.1.2.3, con rutas para 10.0.0.0/8 y 10.1.0.0/16 en la tabla, toma el /16, sin importar el orden en que se agregaron las rutas.

La ruta por defecto, 0.0.0.0/0, es sencillamente el prefijo menos específico posible, y por eso solo se usa cuando nada más coincide. Ese único mecanismo explica la mayor parte del comportamiento de enrutamiento que a la gente le resulta sorprendente, incluido por qué agregar una ruta más específica anula en silencio a una más general.

La sumarización es la misma idea aplicada a propósito. Si todas las subredes de una sede caben dentro de un solo /20, el resto de la red necesita una entrada en vez de dieciséis, lo que mantiene las tablas pequeñas y hace que un enlace inestable dentro de la sede no propague la inestabilidad hacia afuera. Una asignación que ignora la sumarización produce tablas de enrutamiento que crecen linealmente con cada nueva VLAN que alguien crea.

Los servicios que hacen usable una subred

Una subred por sí sola no da para mucho. El DHCP reparte direcciones desde un pool dentro de ella, y ese pool debería ser un subconjunto y no el rango completo, con espacio reservado para servidores, impresoras y equipos de red que necesitan direcciones fijas. Las reservas por dirección MAC le dan a un equipo una dirección estable sin configurarla en el propio equipo, que suele ser la mejor de las dos opciones.

El gateway se ubica por convención en la primera o la última dirección utilizable, y la coherencia entre sedes importa más que cuál de las dos elijas: un técnico que sabe que el gateway siempre es .1 diagnostica más rápido.

El NAT es lo que permite que un rango privado llegue a internet, y también es la razón por la que una dirección en 10.0.0.0/8 o 192.168.0.0/16 no significa nada para nadie fuera de tu red. Cuando un log muestra una dirección privada como origen, estás viendo el lado interno de un NAT y necesitas la tabla de traducción para identificar el host real. El carrier-grade NAT en 100.64.0.0/10 hace lo mismo a escala de un proveedor, y es la razón por la que identificar a un suscriptor requiere cada vez más un número de puerto además de la dirección.

Dividir en subredes una red en la nube

En AWS, Azure y Google Cloud el vocabulario es el mismo pero las restricciones cambian. Cada proveedor reserva varias direcciones en cada subred: AWS toma cinco - la dirección de red, el gateway, dos para DNS y uso futuro, y la dirección de broadcast -, de modo que un /28 entrega once direcciones utilizables en lugar de catorce.

El CIDR de una VPC suele elegirse una sola vez y es doloroso de cambiar, así que conviene elegirlo pensando en el peering: dos redes con rangos superpuestos no se pueden conectar sin traducción, y la causa más común es que todos acepten el 10.0.0.0/16 por defecto. Reservar un rango distinto por entorno y por región evita toda una categoría de migraciones que no tienen buenas opciones.

Las subredes suelen definirse por zona de disponibilidad, y dividir el rango de cada zona en capas pública y privada es el patrón estándar. Dejar espacio entre las capas para una tercera - una capa de datos, o una zona futura - no cuesta nada en el momento del diseño y evita esa asignación no contigua e incómoda que, si no, aparece a los dieciocho meses.

Leer el resultado de la calculadora al diagnosticar

La pregunta más habitual en la práctica es si dos direcciones están en la misma subred, porque si no lo están, el host envía el paquete a su gateway en lugar de entregarlo directamente, y entra en juego un problema de firewall o de enrutamiento. Comparar la dirección de red de cada una lo responde de inmediato: misma dirección de red con la misma máscara significa la misma subred.

Una máscara que no coincide es el error de configuración clásico y produce síntomas asimétricos - un host alcanza al otro pero no al revés - porque cada lado discrepa sobre si el destino es local. Ver ambas redes una al lado de la otra lo vuelve evidente de una forma que leer dos archivos de configuración rara vez logra.

La etiqueta de ámbito es la otra respuesta rápida. Una dirección en 169.254.0.0/16 significa que el DHCP falló, una dirección en 127.0.0.0/8 significa que algo está escuchando en loopback y no en una interfaz, y una dirección inesperada en 100.64.0.0/10 casi siempre significa que un router del proveedor está haciendo carrier-grade NAT en un punto donde suponías tener una dirección pública.