Calculadora de Sub-rede

O que é um prefixo

Um endereço IPv4 tem 32 bits. O tamanho do prefixo depois da barra diz quantos desses bits identificam a rede, e o restante identifica um host dentro dela. Um /24 fixa os primeiros 24 bits e deixa 8 para hosts, ou seja, 256 endereços; cada passo para baixo no prefixo dobra o bloco, então um /23 tem 512 endereços e um /16 tem 65.536.

A máscara de rede é a mesma informação escrita como endereço: 24 uns seguidos de 8 zeros dão 255.255.255.0. Ela precisa ser uma sequência contínua de uns - é isso que faz da divisão uma fronteira única e não bits espalhados - e por isso 255.255.0.255 não é máscara nenhuma. Uma calculadora que arredonda isso em silêncio para a máscara válida mais próxima esconde justamente o erro de configuração que você procurava.

A máscara curinga (wildcard) é a máscara de rede invertida, e existe porque ACLs da Cisco e o OSPF são escritos em termos dos bits que podem variar, e não dos que são fixos. 0.0.0.255 é a curinga de um /24. As duas aparecem aqui porque qual delas você precisa depende só do que está configurando.

Vale ler a linha em binário pelo menos uma vez. Fazer sub-redes é traçar uma fronteira em 32 bits, e ver essa fronteira desenhada costuma ser mais rápido do que raciocinar em decimal pontuado.

As faixas que você deve reconhecer

Três blocos IPv4 são reservados pela RFC 1918 para uso privado e não são roteados na internet: 10.0.0.0/8, 172.16.0.0/12 - atenção, é de 172.16 a 172.31, não todo o 172 - e 192.168.0.0/16. Quase toda rede interna que você encontrar foi recortada de um deles.

Outras aparecem com frequência suficiente para serem reconhecidas de imediato. 100.64.0.0/10 é o CGNAT, usado entre os clientes de um provedor e os roteadores do próprio provedor, e aparece em redes domésticas mais do que se imagina. 169.254.0.0/16 é link-local, autoatribuído quando o DHCP falha, então um endereço nessa faixa costuma ser sintoma, não configuração. 127.0.0.0/8 é loopback - o /8 inteiro, não só 127.0.0.1. 224.0.0.0/4 é multicast, e 255.255.255.255 é o endereço de broadcast limitado.

Para documentação e exemplos, a RFC 5737 reserva três blocos - 192.0.2.0/24, 198.51.100.0/24 e 203.0.113.0/24. Use-os em diagramas ou posts em vez de escolher um endereço que pertence a alguém.

Dividindo uma rede

Dividir um bloco significa mover a fronteira para a direita. Um /24 dividido em quatro dá quatro /26 de 64 endereços cada; dividido em dois, dois /25 de 128. A conta é sempre a mesma porque o prefixo é sempre uma potência de dois, e essa também é a limitação: não existe sub-rede de 100 endereços, só de 64 ou de 128.

VLSM (máscara de sub-rede de tamanho variável) é a prática de dimensionar cada sub-rede pelo que ela vai abrigar, em vez de cortar tudo do mesmo tamanho. Um enlace ponto a ponto entre dois roteadores precisa de dois endereços, então recebe um /31 ou /30; uma VLAN de usuários com 60 dispositivos recebe um /26; um segmento de servidores com expectativa de crescimento recebe um /24. Fazer isso bem é basicamente deixar folga: renumerar uma sub-rede que estourou o prefixo significa mexer em todo dispositivo, toda regra de firewall e toda entrada estática que se refere a ela.

Ajuda alocar em fronteiras que permitam sumarização. Se tudo de uma unidade fica dentro de um único /20, o resto da rede precisa de uma rota para chegar lá, e não dezesseis, e essa diferença se acumula num ambiente grande.

IPv6 não é IPv4 com mais dígitos

A aritmética é a mesma, mas as premissas de projeto não, então hábitos trazidos do IPv4 costumam gerar redes IPv6 esquisitas.

O /64 é o tamanho padrão de sub-rede, sempre, independentemente de quantos hosts ela tenha. A autoconfiguração sem estado (SLAAC) depende de 64 bits de host, então dividir abaixo de /64 quebra esse mecanismo e só vale a pena em enlaces ponto a ponto, sabendo do que se abre mão. Unidades normalmente recebem um /48 ou um /56, o que dá 65.536 ou 256 sub-redes - a ideia é que você nunca mais precise economizar endereços e possa dar um /64 por VLAN sem fazer contas.

Não existe endereço de broadcast; o multicast faz esse papel. Nada no prefixo é reservado, então um /64 tem de fato 18.446.744.073.709.551.616 endereços utilizáveis, e o hábito de subtrair dois não se aplica. E NAT não faz parte do modelo: os hosts têm endereços roteáveis globalmente e a alcançabilidade é decisão do firewall, o que é uma mudança de mentalidade, não de aritmética.

Dividindo um /24 para um escritório pequeno

Suponha que você tenha 192.168.10.0/24 e quatro coisas para acomodar: cerca de 50 dispositivos de funcionários, uma dúzia de servidores, algumas impressoras e câmeras, e dois enlaces ponto a ponto para roteadores de filiais. O instinto é dividir o bloco em quatro /26 iguais, o que desperdiça a maior parte dele e não deixa folga onde ela é necessária.

A divisão em sub-redes de tamanho variável funciona melhor. Dê à VLAN dos funcionários o 192.168.10.0/26, que são 62 endereços utilizáveis. Dê aos servidores o 192.168.10.64/27, com 30 utilizáveis e espaço para dobrar. Coloque impressoras e câmeras em 192.168.10.96/27, já que mantê-las fora da rede dos usuários simplifica as regras de firewall. Isso deixa o 192.168.10.128/25 inteiramente livre, e os dois enlaces podem pegar /30 do topo dele - 192.168.10.252/30 e 192.168.10.248/30 - deixando o meio aberto.

O motivo para deixar a folga em vez de compactar tudo é que renumerar mais tarde significa mexer em cada dispositivo, cada escopo de DHCP, cada regra de firewall e cada entrada estática. Espaço de endereçamento dentro de uma faixa privada é de graça; um fim de semana de renumeração não é.

O que um roteador faz com esses prefixos

Uma tabela de roteamento é uma lista de prefixos e próximos saltos, e a regra para escolher entre eles é a correspondência do prefixo mais longo: vence a rota mais específica que contém o destino. Um pacote para 10.1.2.3, com rotas para 10.0.0.0/8 e 10.1.0.0/16 na tabela, segue pelo /16, independentemente da ordem em que as rotas foram adicionadas.

A rota padrão, 0.0.0.0/0, é simplesmente o prefixo menos específico possível, e é por isso que ela só é usada quando nada mais corresponde. Esse único mecanismo explica a maior parte dos comportamentos de roteamento que as pessoas acham surpreendentes, inclusive por que adicionar uma rota mais específica silenciosamente sobrepõe uma mais genérica.

A sumarização é a mesma ideia usada de propósito. Se todas as sub-redes de um site estiverem dentro de um único /20, o restante da rede precisa de uma entrada em vez de dezesseis, o que mantém as tabelas pequenas e faz com que um enlace instável dentro do site não propague instabilidade para fora. Uma alocação que ignora a sumarização produz tabelas de roteamento que crescem linearmente a cada nova VLAN que alguém cria.

Os serviços que tornam uma sub-rede utilizável

Uma sub-rede sozinha não é grande coisa. O DHCP distribui endereços de um pool dentro dela, e esse pool deve ser um subconjunto, e não a faixa inteira, com espaço reservado para servidores, impressoras e equipamentos de rede que precisam de endereços fixos. Reservas por endereço MAC dão a um dispositivo um endereço estável sem configurá-lo no próprio dispositivo, o que costuma ser a melhor das duas opções.

O gateway fica, por convenção, no primeiro ou no último endereço utilizável, e a consistência entre os sites importa mais do que qual dos dois você escolhe: um técnico que sabe que o gateway é sempre .1 resolve problemas mais rápido.

O NAT é o que permite que uma faixa privada alcance a internet, e também é o motivo pelo qual um endereço em 10.0.0.0/8 ou 192.168.0.0/16 não significa nada para ninguém fora da sua rede. Quando um log mostra um endereço privado como origem, você está olhando para o lado de dentro de um NAT e precisa da tabela de tradução para identificar o host real. O carrier-grade NAT em 100.64.0.0/10 faz a mesma coisa na escala de um provedor, e é por isso que identificar um assinante exige cada vez mais um número de porta além do endereço.

Dividindo uma rede na nuvem

Na AWS, no Azure e no Google Cloud o vocabulário é o mesmo, mas as restrições diferem. Cada provedor reserva alguns endereços em toda sub-rede: a AWS toma cinco - o endereço de rede, o gateway, dois para DNS e uso futuro, e o endereço de broadcast - de modo que um /28 oferece onze endereços utilizáveis, e não quatorze.

O CIDR de uma VPC normalmente é escolhido uma vez só e é doloroso de mudar, então vale escolhê-lo pensando em peering: duas redes com faixas sobrepostas não podem ser conectadas sem tradução, e a causa mais comum é todo mundo aceitar o padrão 10.0.0.0/16. Reservar uma faixa distinta por ambiente e por região evita uma classe de migração que não tem boas saídas.

As sub-redes costumam ser definidas por zona de disponibilidade, e dividir a faixa de cada zona em camadas pública e privada é o padrão usual. Deixar espaço entre as camadas para uma terceira - uma camada de dados, ou uma zona futura - não custa nada no momento do projeto e evita aquela alocação não contígua e desajeitada que, de outro modo, aparece dezoito meses depois.

Lendo o resultado da calculadora durante uma investigação

A pergunta real mais comum é se dois endereços estão na mesma sub-rede, porque, se não estiverem, o host envia o pacote para o gateway em vez de entregá-lo diretamente, e um problema de firewall ou de roteamento entra em cena. Comparar o endereço de rede de cada um responde na hora: mesmo endereço de rede com a mesma máscara significa a mesma sub-rede.

Uma máscara divergente é o erro de configuração clássico e produz sintomas assimétricos - um host alcança o outro, mas não o contrário - porque cada lado discorda sobre se o destino é local. Ver as duas redes lado a lado deixa isso evidente de um jeito que ler dois arquivos de configuração raramente consegue.

O rótulo de escopo é a outra resposta rápida. Um endereço em 169.254.0.0/16 significa que o DHCP falhou, um endereço em 127.0.0.0/8 significa que algo está ligado ao loopback e não a uma interface, e um endereço inesperado em 100.64.0.0/10 costuma significar que um roteador do provedor está fazendo carrier-grade NAT num ponto onde você supunha ter um endereço público.