1. 为什么子网掩码值得单独拎出来聊
干网络这行十来年，被问得最多的问题里，“子网掩码到底怎么算”绝对排得上前三。很多人学完计算机网络课程，能背出“子网掩码用来区分网络号和主机号”，可真拿到一个192.168.10.0/26这样的地址段，让他划出四个能用的子网，手就开始抖了。这不是基础差，而是大多数教材把子网掩码讲成了一堆二进制游戏，没讲清楚它到底在解决什么现实问题。
子网掩码与划分子网这套东西，本质上是一道“地址资源分配题”。一个公司拿到一段 IP 地址，不可能所有设备都塞进同一个广播域里——广播风暴、安全隔离、部门管理，哪一条都逼着你把大网切成小网。子网掩码就是那把切蛋糕的刀，划分子网就是决定每块蛋糕切多大、分给谁。这篇文章面向的是刚接触网络配置的运维新人、准备网络相关认证的备考者，以及那些“配置过但没真正算明白”的开发者。我会把掩码的二进制逻辑、VLSM 变长划分、CIDR 汇总、常见计算陷阱全部拆开讲，配上可以直接抄作业的计算流程和排查表。读完你至少能做到：拿到任意一个地址段和掩码，三十秒内算出网络地址、广播地址、可用主机范围和子网数量，并且知道为什么这么算。
先给一个最朴素的认知锚点：IP 地址是“门牌号”，子网掩码是“邮编规则”。门牌号本身不告诉你哪几位是街道、哪几位是门牌，掩码用连续的 1 和 0 告诉你——1 覆盖的位是“街道”（网络部分），0 覆盖的位是“门牌”（主机部分）。所有划分子网的操作，都是在玩这个 1 和 0 的边界往哪挪的游戏。
2. 子网掩码的底层逻辑与核心计算
2.1 掩码的本质：连续 1 的边界就是网络边界
子网掩码是一个 32 位二进制数，规则只有一条：左边全是连续的 1，右边全是连续的 0，中间不允许出现 0 和 1 交替。这个“连续性”约束不是随便定的，它保证了网络部分是一个完整的、可聚合的前缀，路由器做路由查找时才能用前缀匹配高效转发。一旦掩码不连续，比如255.0.255.0，硬件查找逻辑就废了，所以这种掩码在标准配置里是非法的。
把掩码和 IP 地址做按位与运算，得到的就是网络地址。举个例子，IP192.168.10.130，掩码255.255.255.192：
IP: 11000000.10101000.00001010.10000010 掩码: 11111111.11111111.11111111.11000000 与: 11000000.10101000.00001010.10000000 → 192.168.10.128网络地址是192.168.10.128。这一步是所有后续计算的地基，算错了后面全错。我见过太多人直接拿 IP 的最后一段去套“是不是 128 的倍数”，虽然结果碰巧对，但换个掩码就翻车。老老实实做按位与，或者记住“主机位全部清零”这个等价操作，才是稳的。
掩码的另一种写法是前缀长度，/26就代表 26 个 1。这两种写法要能瞬间互换，下面这张表建议直接记牢：
| 前缀 | 掩码 | 每子网地址数 | 可用主机数 |
|---|---|---|---|
| /24 | 255.255.255.0 | 256 | 254 |
| /25 | 255.255.255.128 | 128 | 126 |
| /26 | 255.255.255.192 | 64 | 62 |
| /27 | 255.255.255.224 | 32 | 30 |
| /28 | 255.255.255.240 | 16 | 14 |
| /29 | 255.255.255.248 | 8 | 6 |
| /30 | 255.255.255.252 | 4 | 2 |
这张表是划分子网的“九九乘法表”，背不下来就得每次现算，效率差一大截。注意可用主机数永远是地址数减 2——网络地址和广播地址不能分配给主机，这是硬规矩。
2.2 块大小法：心算子网的最快路径
二进制按位与虽然严谨，但实战中没人愿意每次掏计算器。我常用的是块大小法，核心就一句话：块大小 = 256 - 掩码中发生变化的那一段的十进制值。
还是192.168.10.130/26，掩码第四段是 192，块大小 = 256 - 192 = 64。这意味着子网边界落在 0、64、128、192 这几个位置。130 落在 128 到 191 之间，所以网络地址是192.168.10.128，广播地址是下一个边界减一，即192.168.10.191，可用范围129到190。
这个方法的好处是快，而且不容易错。但有个前提：你得清楚“哪一段在变”。如果掩码是255.255.240.0（/20），变化的是第三段，块大小 = 256 - 240 = 16，子网边界在第三段的 0、16、32……240。这时候第四段是完整的主机位，网络地址的第四段直接归零。很多人栽在跨段掩码上，就是因为只盯着最后一段看。
提示：块大小法只适用于掩码边界落在某一段内部的情况。如果掩码是 /16、/24 这种整段边界，块大小直接就是 256，不用减。
2.3 网络地址、广播地址、可用范围的固定推导链
不管掩码多复杂，推导链永远是这三步，顺序不能乱：
- 算网络地址：主机位全部置 0。
- 算广播地址：主机位全部置 1，等价于“下一个子网网络地址减 1”。
- 算可用范围：网络地址加 1 到广播地址减 1。
拿172.16.5.200/22练手。掩码 /22 对应255.255.252.0，第三段变化，块大小 = 256 - 252 = 4。第三段 5 落在 4 到 7 之间，网络地址第三段是 4，第四段归零，得172.16.4.0。广播地址是下一个子网172.16.8.0减一，即172.16.7.255。可用范围172.16.4.1到172.16.7.254，一共 1022 个可用地址（2 的 10 次方减 2，因为主机位有 10 位）。
这里有个容易混淆的点：/22 的主机位是 32 - 22 = 10 位，地址总数 1024，但跨越了第三段的后 2 位和整个第四段 8 位。所以第三段的步进是 4，第四段是完整的 0 到 255。理解“主机位跨越段边界”是掌握跨段掩码的关键，画个位图就一目了然：
第三段: 00000101 (5) 掩码: 11111100 网络: 00000100 (4) ← 后两位是主机位后两位主机位在第三段内变化，所以第三段以 4 为步进；第四段 8 位全是主机位，所以整段变化。
3. 划分子网的实战方法论
3.1 等长子网划分：从需求反推掩码
等长划分是最常见的场景：一个 C 类地址192.168.1.0/24，公司有四个部门，每个部门大约 50 台设备，要求每个部门独立子网。怎么切？
先算需求：每个子网至少 50 个可用主机，加上网络地址和广播地址，至少需要 52 个地址。2 的 6 次方是 64，够用；2 的 5 次方是 32，不够。所以主机位留 6 位，网络位借 2 位，掩码变成 /26，即255.255.255.192。四个子网正好：
| 子网 | 网络地址 | 可用范围 | 广播地址 |
|---|---|---|---|
| 1 | 192.168.1.0 | .1 - .62 | .63 |
| 2 | 192.168.1.64 | .65 - .126 | .127 |
| 3 | 192.168.1.128 | .129 - .190 | .191 |
| 4 | 192.168.1.192 | .193 - .254 | .255 |
这里的关键决策是“借几位”。借位公式：2 的 n 次方 ≥ 子网数量，同时2 的 (8-n) 次方 - 2 ≥ 每子网主机数（以 C 类为例）。两个条件同时满足的 n 就是答案。上面例子中 n=2 满足子网数 4，主机数 62 ≥ 50，成立。如果部门有 70 台设备，n=2 就不够了，得 n=1，只能划两个子网，每个 126 台——这就是等长划分的局限：它要求所有子网一样大，资源利用率低。
我踩过的一个坑：有人把“子网数量”和“可用子网数量”搞混。某些老教材会提“子网号全 0 和全 1 不可用”的规则，那是早期路由协议的限制，现代设备早就支持全 0 全 1 子网了。所以算子网数直接用 2 的 n 次方，不用减 2。这个点如果不清楚，划出来的子网会少一半，白白浪费地址。
3.2 VLSM 变长划分：让每块蛋糕大小刚好
真实企业里，部门规模从来不一样。一个 /24 要分给 100 人的研发部、50 人的市场部、20 人的财务部，还有两个各 2 台设备的路由器互联链路。等长划分要么浪费，要么不够。这时候上VLSM（变长子网掩码），原则是从大到小分配，先满足大需求，再在小块里继续切。
拿192.168.1.0/24做例子，需求如下：
- 研发部：100 台
- 市场部：50 台
- 财务部：20 台
- 两条点对点链路：各 2 台
第一步，研发部 100 台，需要主机位 7 位（2^7-2=126 ≥ 100），掩码 /25，块大小 128。分配192.168.1.0/25，可用.1到.126，广播.127。
第二步，剩下192.168.1.128/25。市场部 50 台，主机位 6 位（62 ≥ 50），掩码 /26，块大小 64。分配192.168.1.128/26，可用.129到.190，广播.191。
第三步，剩下192.168.1.192/26。财务部 20 台，主机位 5 位（30 ≥ 20），掩码 /27，块大小 32。分配192.168.1.192/27，可用.193到.222，广播.223。
第四步，剩下192.168.1.224/27。点对点链路只需要 2 个地址，掩码 /30，块大小 4。第一条链路192.168.1.224/30，可用.225到.226，广播.227。第二条链路192.168.1.228/30，可用.229到.230，广播.231。
剩下的192.168.1.232到.255留着扩展。整个分配过程像俄罗斯套娃，每次从剩余空间里切出刚好够用的块。VLSM 的精髓在于“按需分配”，但代价是路由表里会出现不同长度的掩码条目，所以必须配合支持无类路由的协议（如 OSPF、RIPv2），老式的 RIPv1 是不认掩码的，配了也白配。
注意：VLSM 分配顺序绝对不能乱。如果先给小部门分，大部门可能就找不到连续的大块空间了。这跟装箱问题一个道理，大件先装。
3.3 CIDR 路由汇总：把碎块重新捏成整块
划分子网是“切”，CIDR 汇总就是“合”。企业内部分了十几个子网，对外通告路由时不可能一条条列，得汇总成一条或几条聚合路由。汇总的规则是：找所有子网网络地址的公共前缀，前缀长度就是汇总后的掩码。
假设有四个子网：192.168.0.0/24、192.168.1.0/24、192.168.2.0/24、192.168.3.0/24。看第三段二进制：
0: 00000000 1: 00000001 2: 00000010 3: 00000011前 6 位完全相同（000000），只有后 2 位变化。所以公共前缀是 16 + 6 = 22 位，汇总路由为192.168.0.0/22。验证一下：/22 覆盖192.168.0.0到192.168.3.255，正好包含这四个 /24。
汇总最容易犯的错是“过度汇总”，把不属于自己的地址也包进去了。比如只有192.168.0.0/24和192.168.2.0/24两个子网，硬要汇总成 /22，就会把192.168.1.0/24和192.168.3.0/24也宣告出去，如果这两个段被别的部门用了，流量就会跑错地方。所以汇总前必须确认：聚合后的地址块内，没有分配给其他地方的“空洞”。有空洞就得拆成多条汇总，或者用更精确的前缀。
4. 完整实操：从零配置一个划分子网的网络
4.1 场景设定与地址规划表
假设某小型公司拿到运营商给的地址段10.20.30.0/24，需要划分：办公区 60 台、会议室 25 台、服务器区 10 台、管理网段 5 台、两条互联链路。我按 VLSM 做一张规划表，这张表就是后续所有配置的依据：
| 区域 | 需求主机 | 掩码 | 网络地址 | 可用范围 | 广播地址 |
|---|---|---|---|---|---|
| 办公区 | 60 | /26 | 10.20.30.0 | .1 - .62 | .63 |
| 会议室 | 25 | /27 | 10.20.30.64 | .65 - .94 | .95 |
| 服务器区 | 10 | /28 | 10.20.30.96 | .97 - .110 | .111 |
| 管理网段 | 5 | /29 | 10.20.30.112 | .113 - .118 | .119 |
| 链路1 | 2 | /30 | 10.20.30.120 | .121 - .122 | .123 |
| 链路2 | 2 | /30 | 10.20.30.124 | .125 - .126 | .127 |
剩余10.20.30.128到.255留作扩展。这张表里每个子网的起始地址都是上一块广播地址加一，严丝合缝不重叠，这是手工规划时必须逐行核对的。我习惯用“上一块广播 +1 = 下一块网络”这个等式做校验，任何一行对不上就说明算错了。
4.2 网关与设备地址分配约定
规划表出来后，要定一个分配约定，否则后期维护一团乱。我的习惯是：每个子网第一个可用地址做网关，最后一个可用地址留给交换机管理或保留。比如办公区网关10.20.30.1，会议室网关10.20.30.65，以此类推。服务器区因为设备少，网关用.97，服务器从.98开始排。
这个约定看起来是小事，但省下的沟通成本巨大。新人接手时看一眼地址就知道网关在哪，不用翻文档。另外，互联链路的 /30 只有两个地址，一端是路由器 A 的接口，一端是路由器 B 的接口，没有网关概念，配置时直接写对端地址做下一跳。
4.3 路由器接口配置示例
以某主流网络设备命令行风格为例，办公区网关接口和链路接口的配置大致如下（不同厂商语法有差异，逻辑一致）：
# 办公区网关接口 interface GigabitEthernet0/1 ip address 10.20.30.1 255.255.255.192 no shutdown # 互联链路接口 interface GigabitEthernet0/2 ip address 10.20.30.121 255.255.255.252 no shutdown # 静态路由指向对端 ip route 10.20.30.64 255.255.255.224 10.20.30.122配置完必须验证三件事：接口状态 up、地址掩码正确、路由表里有对应条目。用show ip interface brief看状态，用show ip route看路由。我见过掩码配错导致同网段设备 ping 不通的案例——接口配了 /26，但终端配了 /24，终端认为对方在同网段直接 ARP，路由器却认为跨网段要转发，结果就是单向通或完全不通。所以终端和网关的掩码必须严格一致，这是排查时第一个要看的点。
4.4 验证与连通性测试流程
配置完成后按这个顺序测：先测同子网内互通（办公区两台 PC 互 ping），再测跨子网（办公区 ping 会议室），最后测出口。同子网不通查交换机 VLAN 和端口；跨子网不通查网关掩码和路由；出口不通查 NAT 和上行链路。这个由内到外的顺序能把问题范围快速缩小。
测试时用ping加tracert（或traceroute）组合。ping 通但 tracert 第一跳就断，通常是网关的返回路由缺失；ping 不通但 ARP 表里有对方 MAC，说明二层通、三层掩码或路由有问题。这些判断经验比任何文档都实用，多排几次故障自然就形成了条件反射。
5. 常见计算陷阱与排查速查
5.1 五个高频错误对照表
子网计算出错，翻来覆去就那么几类。我把它们整理成表，遇到问题先对号入座：
| 错误现象 | 根因 | 正确做法 |
|---|---|---|
| 子网数量算少一半 | 误用“全 0 全 1 子网不可用”旧规则 | 现代设备直接用 2 的 n 次方 |
| 可用主机数多算 2 个 | 忘记扣除网络地址和广播地址 | 地址数减 2 |
| 跨段掩码网络地址算错 | 只盯最后一段，忽略前面变化段 | 找出掩码变化的那一段算块大小 |
| 汇总路由导致流量跑偏 | 过度汇总，把空洞地址包进去 | 确认聚合块内无其他分配 |
| 终端与网关掩码不一致 | 配置时各配各的，没统一 | 同子网内掩码必须完全一致 |
第一类错误现在其实很少见了，但某些老资料还在传播，新手看了容易中招。第二类是最普遍的，尤其在心算时，2 的 n 次方脱口而出，减 2 就忘了。第三类跨段掩码是进阶坑，/17 到 /23 这些掩码最容易翻车，建议每次都用位图验证一遍。
5.2 掩码不连续与非法配置的识别
前面提过掩码必须连续，但实际配置中偶尔会遇到255.255.255.100这种非法值。设备通常会直接拒绝，或者报“bad mask”错误。识别方法很简单：把掩码转二进制，看有没有“0 后面又出现 1”的情况。100的二进制是01100100，中间有 0 有 1 交替，非法。合法的第四段值只有 0、128、192、224、240、248、252、254、255 这几个，记住这个序列就能快速判断。
还有一种隐蔽的坑：子网划分后，两个子网的地址范围重叠。比如把10.0.0.0/25和10.0.0.64/26同时配上去，后者完全被前者包含，路由会冲突。规划时用表格逐行核对“上一块广播 +1 = 下一块网络”，就能杜绝这类问题。
5.3 排障时的三层递进思路
网络不通时，别急着抓包，按三层递进走：先看掩码，再看路由，最后看策略。掩码问题表现为“同网段不通”或“跨网段单向通”；路由问题表现为“ping 网关通但 ping 远端不通”；策略问题（ACL、防火墙）表现为“特定端口或特定方向不通”。这个顺序能把 80% 的问题在前两步定位。
举个真实案例：某次办公区能 ping 通服务器区，但服务器区 ping 不回办公区。查掩码都对，查路由发现服务器区的网关路由器缺少回程路由——它不知道10.20.30.0/26怎么走。补一条静态路由指向办公区网关，立刻恢复。这种“单向通”几乎都是回程路由缺失，记住这个特征能省很多时间。
6. 我个人的几条实操心得
划分子网这件事，算得快不如算得稳。我早年追求心算速度，结果在跨段掩码上栽过跟头，后来养成了一个笨习惯：任何非 /24 的划分，先在纸上画位图，标出网络位和主机位的分界线，再动笔算。位图画多了，脑子里自然有了图像，速度反而上来了。块大小法配合位图验证，是我目前最推荐的组合——快的时候心算，拿不准就画图，两条腿走路。
另一个体会是，规划表一定要留扩展空间。上面例子中我特意把10.20.30.128之后留空，就是给未来新部门或新业务用的。如果一开始把 /24 切得干干净净，后面加设备就得重新规划，牵一发动全身。经验值是预留至少 25% 的地址空间，宁可前期看着浪费，也别后期返工。
最后分享一个排查小技巧：当你不确定某台设备的掩码配得对不对时，让它 ping 一下所在子网的广播地址。能 ping 通（或收到回应）说明掩码至少没把它划到别的子网去；如果 ping 广播地址没反应但 ping 网关正常，大概率掩码配大了，把广播地址当成了普通主机地址。这个方法不严谨，但应急时很好用，比翻配置快得多。
