Правило файрвола, которое разрешило больше, чем нужно
Нужно было открыть доступ к внутреннему сервису только для одного этажа офиса — 30 машин, диапазон 192.168.10.192–223. В правиле файрвола написали 192.168.10.192/24 вместо 192.168.10.192/27 — одна цифра, а разница между «30 машин на этаже» и «весь /24, включая гостевой Wi-Fi и бухгалтерию в соседнем крыле» решается именно ей. Автор правила прекрасно знал, что такое IP-адрес. Проблема была не в знаниях — в скорости: маску в голове быстро не посчитал, взял то, что было под рукой.
Эта статья — не про то, что такое IP-адрес (вы это знаете). Она про один трюк, после которого /27 от /24 в уме отличается за секунды, а не за поход к калькулятору подсетей. И про VLSM — как из одной сети нарезать несколько разного размера, не тратя адреса впустую.
Маска — это просто «где заканчивается сеть»
IP-адрес — 32 бита. Маска подсети — тоже 32 бита, и её единственная работа: сказать, сколько бит слева принадлежит сети, а сколько справа остаётся под хосты. Запись /26 — это и есть то самое число: 26 бит сети, 6 бит хостов. 255.255.255.192 — та же маска, только в десятичном виде по октетам.
Перевести CIDR в десятичный вид через биты можно, но для этого придётся каждый раз держать в голове восемь степеней двойки. Есть способ короче.
Магическое число: единственная формула, которая реально нужна
Берёте последний «интересный» октет маски (тот, что не 0 и не 255) и вычитаете его из 256. Получаете размер блока — шаг, с которым сети идут одна за другой. Всё остальное — подстановка.
Пример: маска 255.255.255.192. Интересный октет — 192. 256 − 192 = 64. Значит, сети идут блоками по 64 адреса: 0, 64, 128, 192. Какой бы адрес хоста вам ни дали — 192.168.1.10, 192.168.1.75, 192.168.1.201 — вы округляете его вниз до ближайшего кратного 64, и это адрес сети. 10 → 0. 75 → 64. 201 → 192. Broadcast — на 1 меньше следующей границы: для сети .0 это 63, для .64 это 127, и так далее.
Это и есть весь трюк. Не таблицы, не биты в столбик — одно вычитание и одно округление.
💡 Проверка за 3 секунды: 192.168.1.10/26 — маска 192, блок 64, 10 округляется вниз до 0 → сеть 192.168.1.0, broadcast 192.168.1.63. Ровно то же самое можно проверить не в уме, а на IP-калькуляторе подсетей — полезно, когда цена ошибки выше, чем секунда на устный счёт.
Шпаргалка на все восемь масок
Восемь строк, которые стоит держать в голове, а не искать заново каждый раз — маска, размер блока и число реально доступных хостов (адрес сети и broadcast не считаются, поэтому везде минус 2):
CIDR Маска Блок Хостов доступно
/25 255.255.255.128 128 126
/26 255.255.255.192 64 62
/27 255.255.255.224 32 30
/28 255.255.255.240 16 14
/29 255.255.255.248 8 6
/30 255.255.255.252 4 2 (классика для point-to-point)
/31 255.255.255.254 2 2 (RFC 3021 — оба адреса, без broadcast)
/32 255.255.255.255 1 1 (один-единственный хост)
Формула для доступных хостов — 2^(32 − CIDR) − 2. Два вычитаются, потому что первый адрес блока — это адрес сети, а последний — broadcast, ни тот ни другой не назначается интерфейсу. Исключение — /31: по той же логике, что уже разбиралась в статье про WinRM для двух точек соединения — оба адреса блока используются как хосты, broadcast там просто не нужен по протоколу.
VLSM: нарезаем одну сеть на разные по размеру куски
Классическая (не-VLSM) ошибка новичка — выдать всем отделам одинаковые /24, потому что «так проще». У вас есть сеть 192.168.10.0/24 (254 адреса), и четыре реальных требования:
- Продажи — 100 хостов
- Инженеры — 50 хостов
- Бухгалтерия — 20 хостов
- Линк между двумя маршрутизаторами — 2 хоста
VLSM (Variable Length Subnet Masking) — это просто правило «начинай с самого крупного требования и режь блоки один за другим, без пропусков». Раздаём по порядку, от большего к меньшему:
Продажи: 100 хостов → нужен блок ≥102 → /25 (126 хостов)
192.168.10.0/25 адреса .0–.127, broadcast .127
Инженеры: 50 хостов → нужен блок ≥52 → /26 (62 хоста)
192.168.10.128/26 адреса .128–.191, broadcast .191
Бухгалтерия: 20 хостов → нужен блок ≥22 → /27 (30 хостов)
192.168.10.192/27 адреса .192–.223, broadcast .223
Линк: 2 хоста → нужен блок ≥4 → /30 (2 хоста)
192.168.10.224/30 адреса .224–.227, broadcast .227
Осталось свободно: 192.168.10.228 – 192.168.10.255 (28 адресов про запас)
Каждый следующий блок начинается ровно там, где закончился предыдущий — это и есть вся механика VLSM, никакой магии сверх магического числа из предыдущего раздела. Обратите внимание: 28 адресов осталось неиспользованными специально — запас на рост Бухгалтерии или ещё один линк, а не потому что расчёт не сошёлся.
⚠️ Частая ошибка новичка в VLSM: резать от меньшего к большему. Если начать с линка (/30) и Бухгалтерии (/27), а Продажи (/25) оставить на конец — блок в 128 адресов просто не влезет туда, где осталось меньше свободного места, и придётся пересчитывать всё заново. Всегда от большего требования к меньшему.
Как проверить себя, не отходя от терминала
Устный счёт хорош для скорости, но не для ответственных изменений. Три способа перепроверить, прежде чем нажать «Применить»:
Bash
# Утилита ipcalc есть почти в любом дистрибутиве (apt/dnf install ipcalc)
ipcalc 192.168.10.128/26
# Посмотреть текущую адресацию интерфейса на Linux
ip -4 addr show
# То же самое на Windows
Get-NetIPAddress -AddressFamily IPv4
А если нужно быстро прогнать несколько вариантов подряд, не открывая терминал — на сайте есть IP-калькулятор подсетей: вводите IP/CIDR или IP/маска, получаете сеть, broadcast, диапазон хостов и их количество, включая корректную обработку /31 и /32.
Итог
Одно вычитание из 256 и округление вниз — вот и весь мысленный аппарат, который нужен для 90% повседневных задач с подсетями. VLSM поверх этого — не отдельная наука, а тот же трюк, применённый по очереди, от большего требования к меньшему. Остальное — дело практики: чем чаще считаете в уме и проверяете инструментом, тем быстрее это перестаёт быть отдельной задачей и становится частью того, как вы читаете любой IP-адрес с первого взгляда.
Теги: #сеть #ipv4 #подсети #networking #sysadmin
Хотите стать архитектором будущего, а не просто админом? Эта статья — лишь верхушка айсберга. В нашем Telegram-канале «Admin Future» мы каждый день публикуем системные гайды, готовые скрипты, AI-лайфхаки и чеклисты, которые не найти в Google. Мы не просто постим команды — мы строим библиотеку знаний для тех, кто хочет расти от админа до архитектора. Подписывайтесь и становитесь экспертом: Admin Future
