Калькулятор подсетей

От длины префикса к блоку адресов

В записи CIDR число после косой черты показывает, сколько первых бит определяют сеть; остальные нумеруют хосты. У /24 остаётся 8 бит для хостов, поэтому в блоке 2^8 = 256 адресов. Каждый бит, отданный сети, уменьшает блок вдвое, а каждый бит, возвращённый хостам, удваивает его. Отсюда размеры, которые стоит запомнить: /30 — 4 адреса, /29 — 8, /28 — 16, /27 — 32, /26 — 64, /25 — 128, /24 — 256, /23 — 512, /22 — 1 024, /20 — 4 096.

Два адреса в обычной подсети не предназначены для хостов: первый — адрес сети, последний — широковещательный (broadcast). Поэтому в /26 всего 64 адреса, из них 62 доступны хостам, маска — 255.255.255.192, а wildcard-маска — 0.0.0.63. Исключений два: /31 даёт два доступных адреса на линии «точка — точка» по RFC 3021, а /32 обозначает один хост.

Пример с адресом хоста

Введите 10.20.30.77/26. Размер блока — 64, поэтому блоки в последнем октете начинаются с 0, 64, 128 и 192. Адрес 77 попадает в блок, который начинается с 64. Калькулятор покажет сеть 10.20.30.64, broadcast 10.20.30.127 и диапазон хостов от 10.20.30.65 до 10.20.30.126. Вставлять можно любой адрес хоста, а не только адрес сети: инструмент сам отбросит лишние биты и найдёт нужный блок. Это самый быстрый способ понять, находятся ли две машины в одной подсети: сравнивайте адреса сетей, а не последние октеты.

Как разумно разделить сеть

Чтобы разбить 192.168.10.0/24 на четыре равных сегмента, перейдите на /26 и шагайте по 64: 192.168.10.0, .64, .128 и .192. Если потребности разные, сначала выделяйте самый большой блок и выравнивайте каждый по его размеру: /26 может начинаться только с числа, кратного 64. /27 для 20 хостов (30 доступных) и две /28 для серверов и управления (по 14 доступных) помещаются с запасом:

• 192.168.10.0/27 для пользователей, 30 доступных
• 192.168.10.32/28 для серверов, 14 доступных
• 192.168.10.48/28 для управления, 14 доступных
• 192.168.10.64 и дальше остаются свободными на вырост

Диапазоны, которые встречаются постоянно

Частные блоки — это 10.0.0.0/8, 172.16.0.0/12 (то есть от 172.16.0.0 до 172.31.255.255; здесь часто ошибаются, читая его как 172.0.0.0/8) и 192.168.0.0/16. Carrier-grade NAT использует 100.64.0.0/10, а 169.254.0.0/16 — это link-local: диапазон, который машина назначает себе сама, когда DHCP не отвечает. Облачные сети отнимают у каждой подсети ещё больше адресов в начале и в конце: AWS и Azure резервируют по пять адресов на подсеть, так что в /28 из 16 адресов на практике доступны 11.

Wildcard-маска — это маска подсети наизнанку; она встречается в списках доступа маршрутизаторов и в командах network для OSPF. Правило 10.20.30.0 0.0.0.63 описывает тот же блок, что и 10.20.30.0/26.

Правила файрвола и мониторинг

Калькулятор подсетей пригождается, когда вы составляете белый список (allow-list). Чекеры Tenium подключаются с небольшого набора фиксированных адресов, которые указаны на странице IP-адресов чекеров и в виде JSON; добавлять каждый как /32 понятнее, чем угадывать более широкие блоки, а широкий блок открывает правило для соседей, которых вы не планировали. Если правило, которое выглядит верным, не работает, посчитайте блок, который оно на самом деле охватывает. Типичный симптом — монитор, который вдруг начинает выдавать таймаут после изменения security group; мониторинг портов отличает заблокированное соединение («таймаут») от закрытого порта («отказ»).

Инструмент работает только с IPv4. Строка «Класс IP» — историческая метка: CIDR заменил классовую адресацию ещё в 1990-х, и класс ничего не говорит о настоящем префиксе. IPv6 использует ту же идею префикса, но со 128 битами, и /64 — стандартный размер одной локальной сети.