Máscaras, prefixos e subnetting

Subnetting divide um bloco sem mudar o tamanho do IPv4

Um endereço IPv4 sempre possui 32 bits. Subnetting não cria bits novos: ele move a fronteira lógica, usando mais bits como prefixo para dividir um bloco em redes menores.

Se uma organização possui 192.0.2.0/24, os primeiros 24 bits identificam o bloco e 8 bits permanecem variáveis. Ao adotar /26, dois desses bits passam a distinguir sub-redes e seis continuam variando dentro de cada uma.

O resultado é uma troca controlada:

• prefixo maior, como /26, produz mais sub-redes e menos endereços em cada uma;
• prefixo menor, como /22, representa um bloco maior e contém mais endereços;
• o tamanho de cada bloco continua sendo potência de dois e seu início precisa estar alinhado ao tamanho.

A aula de endereçamento IPv4 explicou os 32 bits, os octetos e a notação CIDR. Agora vamos transformar essa notação em cálculos verificáveis.

Prefixo e máscara representam a mesma fronteira

Na máscara IPv4, bits 1 consecutivos marcam o prefixo e bits 0 marcam a parte que pode variar. Por isso:

• /8 equivale a 255.0.0.0;
• /16 equivale a 255.255.0.0;
• /24 equivale a 255.255.255.0;
• /26 equivale a 255.255.255.192.

Em /26, há 26 bits 1: três octetos completos somam 24, e os dois primeiros bits do quarto octeto completam 26.

11000000 em decimal é 192, pois 128 + 64 = 192. Assim, o último octeto da máscara é 192.

Valores possíveis em um octeto de máscara

Uma máscara CIDR válida possui 1 contínuos seguidos de 0. Um octeto de transição pode assumir:

• 0 — nenhum bit de prefixo;
• 128 — um bit;
• 192 — dois bits;
• 224 — três bits;
• 240 — quatro bits;
• 248 — cinco bits;
• 252 — seis bits;
• 254 — sete bits;
• 255 — oito bits.

Uma forma como 255.0.255.0 não representa uma máscara CIDR comum: depois que aparecem bits 0, o prefixo não volta a ter bits 1.

A operação AND encontra o endereço da rede

Para descobrir a rede de uma interface, o sistema aplica a operação lógica AND entre cada bit do endereço e o bit correspondente da máscara:

• 1 AND 1 resulta em 1;
• qualquer combinação com 0 resulta em 0.

Os bits do prefixo são preservados; os bits restantes são zerados. Para 192.0.2.70/26, o resultado é 192.0.2.64/26.

No quarto octeto:

70       = 01000110
192      = 11000000
AND        --------
64       = 01000000

Esse método funciona para qualquer prefixo. Ele é especialmente útil para compreender o mecanismo e conferir resultados obtidos por atalhos.

Bits restantes determinam o tamanho do bloco

Se o prefixo possui p bits, restam:

h = 32 − p

O total de combinações é:

2^h

Para /26:

• h = 32 − 26 = 6;
• 2^6 = 64 endereços totais por sub-rede.

No modelo convencional de uma rede com broadcast, uma combinação com bits restantes todos em 0 identifica a sub-rede, e todos em 1 identifica o broadcast dirigido. Assim, um /26 oferece usualmente 64 − 2 = 62 endereços atribuíveis a interfaces.

Uma pequena referência ajuda:

O tamanho do bloco oferece um atalho decimal

Quando a fronteira está dentro de um octeto, subtraia o valor desse octeto da máscara de 256:

256 − 192 = 64

Portanto, um /26 avança em intervalos de 64 no quarto octeto:

• 0 a 63;
• 64 a 127;
• 128 a 191;
• 192 a 255.

Para encontrar o bloco que contém 192.0.2.70, procure o múltiplo de 64 imediatamente anterior ou igual a 70. É 64. O próximo início seria 128, então o bloco atual termina em 127.

O resultado completo é:

• rede: 192.0.2.64/26;
• primeiro endereço usual: 192.0.2.65;
• último endereço usual: 192.0.2.126;
• broadcast: 192.0.2.127.

O atalho também funciona quando o octeto de interesse não é o quarto. Em /20, a máscara é 255.255.240.0; o incremento é 256 − 240 = 16 no terceiro octeto. Os limites avançam 0, 16, 32, 48 e assim por diante, enquanto o quarto octeto percorre de 0 a 255 dentro de cada bloco.

Dividir um bloco em partes iguais exige emprestar bits

Suponha que 192.0.2.0/24 precise ser dividido em quatro sub-redes iguais.

Para representar quatro escolhas são necessários dois bits, pois 2^2 = 4. Eles são acrescentados ao prefixo:

/24 + 2 = /26

Cada nova sub-rede possui 64 endereços. Os quatro blocos são:

1. 192.0.2.0/26 — de .0 a .63;
2. 192.0.2.64/26 — de .64 a .127;
3. 192.0.2.128/26 — de .128 a .191;
4. 192.0.2.192/26 — de .192 a .255.

Outra forma de chegar ao mesmo resultado é partir do número de sub-redes desejado. Escolha o menor s para o qual 2^s atende à necessidade. Para quatro redes, s = 2; para cinco redes iguais, seriam necessários três bits, criando oito possibilidades.

Planejar pela quantidade de interfaces faz o caminho inverso

Se a necessidade é acomodar 50 interfaces em uma sub-rede convencional, procure o menor número de bits restantes que ofereça espaço suficiente:

• 5 bits: 2^5 = 32, ou 30 endereços usuais — insuficiente;
• 6 bits: 2^6 = 64, ou 62 endereços usuais — suficiente.

Com 6 bits restantes, o prefixo é 32 − 6 = /26.

Não planeje exatamente para o número atual sem considerar gateway, equipamentos de rede, crescimento e reservas operacionais. Também não aumente o bloco sem necessidade: espaços excessivos podem desperdiçar endereços e ampliar domínios que deveriam ser menores.

VLSM adapta o tamanho à necessidade de cada rede

Variable Length Subnet Masking (VLSM) permite usar prefixos diferentes dentro de um bloco maior. Em vez de dar /26 a todos os setores, cada necessidade recebe o menor bloco adequado, respeitando alinhamento e ausência de sobreposição.

Imagine 192.0.2.0/24 com grupos que precisam de aproximadamente 100, 50 e 20 endereços atribuíveis no modelo convencional:

1. 100 endereços exigem /25: reserve 192.0.2.0/25, de .0 a .127;
2. 50 exigem /26: reserve 192.0.2.128/26, de .128 a .191;
3. 20 exigem /27: reserve 192.0.2.192/27, de .192 a .223;
4. permanece 192.0.2.224/27, de .224 a .255, para uso futuro.

A regra prática é ordenar as necessidades da maior para a menor. Alocar primeiro um bloco pequeno no meio do espaço pode fragmentar o restante e impedir que uma necessidade maior encontre um intervalo contíguo e alinhado.

O VLSM não altera a matemática. Cada bloco ainda começa em um múltiplo de seu tamanho, e nenhum endereço pode pertencer simultaneamente a duas sub-redes do mesmo plano.

Agregação faz o movimento oposto

Subnetting divide; agregação resume blocos contíguos sob um prefixo menor. Os quatro /26 de 192.0.2.0/24 podem ser representados pelo /24 original quando compartilham encaminhamento compatível.

Não basta que os endereços pareçam próximos. Para agregar corretamente, os blocos precisam:

• ser contíguos;
• estar alinhados ao prefixo agregado;
• formar uma quantidade compatível com potência de dois;
• compartilhar a decisão de encaminhamento que o resumo pretende anunciar.

Anunciar um resumo que inclua espaços sem rota válida pode atrair tráfego e criar descarte ou loops. A aula de roteamento explicará correspondência de prefixo mais longo e rotas agregadas com mais profundidade.

/31 e /32 possuem finalidades específicas

Em uma sub-rede convencional /30, quatro valores formam rede, dois participantes e broadcast. Em um enlace estritamente ponto a ponto, há somente dois extremos e não existe a mesma necessidade de broadcast dirigido.

A RFC 3021 permite que os dois valores de um /31 sejam interpretados como endereços dos participantes nesses enlaces. Isso economiza metade do espaço que um /30 consumiria. A aplicação é deliberadamente limitada a ponto a ponto e requer suporte coerente nos dois extremos.

Um /32 contém uma única combinação. Ele é usado para representar um endereço individual, como uma rota de host ou endereço lógico específico. Não se calcula rede e broadcast distintos dentro dele.

Essas exceções mostram por que fórmulas devem vir acompanhadas do contexto do enlace.

Sub-rede IP não cria sozinha isolamento de enlace

Definir dois prefixos diferentes organiza o endereçamento e orienta o roteamento, mas não transforma automaticamente uma infraestrutura Ethernet em dois domínios separados. Se dispositivos continuam na mesma VLAN, quadros de broadcast do enlace podem compartilhar o mesmo domínio mesmo que as interfaces tenham configurações IP diferentes.

Da mesma forma, duas VLANs não se comunicam apenas porque seus endereços parecem próximos: é necessária uma função de camada 3 para encaminhar entre os prefixos e políticas precisam permitir o tráfego.

Subnetting também não é firewall. Ele cria limites lógicos úteis para rotas, administração e aplicação de controles, mas a proteção depende de configuração de switches, roteadores, filtros e sistemas finais.

Um roteiro confiável para qualquer exercício

Ao receber um endereço e prefixo, siga sempre a mesma ordem:

1. valide os octetos e o comprimento entre /0 e /32;
2. converta o prefixo em máscara, se necessário;
3. calcule h = 32 − p e o tamanho 2^h;
4. localize o octeto de transição e o incremento;
5. encontre o múltiplo anterior ou aplique AND para obter a rede;
6. encontre o próximo início e subtraia um para obter o final;
7. classifique rede, broadcast e intervalo conforme o tipo de prefixo;
8. confirme que gateway e endereços atribuídos pertencem ao bloco esperado;
9. verifique alinhamento e sobreposição com as demais sub-redes.

Uma calculadora de sub-rede é útil para conferir, mas não deve substituir o raciocínio. Se a ferramenta apresenta um resultado inesperado, a compreensão dos bits permite descobrir se o dado de entrada, a expectativa ou a configuração está errado.

Erros comuns em subnetting

• somar o prefixo diretamente ao último octeto: /26 é comprimento em bits, não valor decimal da máscara;
• usar 256 − prefixo: o incremento vem de 256 menos o valor do octeto de transição da máscara;
• tratar o endereço informado como rede: 192.0.2.70/26 pertence à rede 192.0.2.64/26;
• criar blocos desalinhados: um /26 não começa em .70;
• esquecer que o final fica antes do próximo início: se o próximo bloco começa em .128, o atual termina em .127;
• subtrair dois de /31 e /32: esses prefixos possuem semânticas próprias;
• excluir a primeira e a última sub-rede de uma divisão: essa prática é obsoleta em redes classless modernas;
• confundir sub-rede com VLAN ou segurança: endereçamento, enlace e política são dimensões relacionadas, mas distintas;
• misturar blocos privados e prefixos: 192.168.0.0/16 é uma reserva privada; dentro dela ainda podem existir muitos comprimentos de sub-rede;
• planejar VLSM do menor para o maior: isso favorece fragmentação e sobreposição.

O que você deve guardar

O prefixo informa quantos bits são compartilhados. A máscara é a mesma fronteira escrita em decimal. Aplicar AND encontra a rede; contar os bits restantes determina o total; localizar o próximo múltiplo define os limites.

Ao dividir um bloco, novos bits de prefixo criam sub-redes em quantidade de potência de dois. VLSM permite tamanhos diferentes, desde que cada bloco seja contíguo, alinhado e não se sobreponha aos demais. /31 e /32 precisam ser interpretados por suas finalidades, não pela fórmula convencional.

Referências

• IETF — RFC 4632: Classless Inter-domain Routing. Acesso em 28 ago. 2026.
• IETF — RFC 950: Internet Standard Subnetting Procedure. Acesso em 28 ago. 2026.
• IETF — RFC 1878: Variable Length Subnet Table for IPv4. Acesso em 28 ago. 2026.
• IETF — RFC 3021: Using 31-Bit Prefixes on IPv4 Point-to-Point Links. Acesso em 28 ago. 2026.