子网划分与 CIDR 记法：一份能上手的工作指南

"给我划一段 /26"、"这个掩码 255.255.255.192 是多少位"——做网络相关工作，这类对话几乎每天都会出现。子网划分其实是套很简单的小算术，这篇把它彻底讲透，让你不借助工具也能在脑子里完成大部分计算。

CIDR 记法在说什么

192.168.1.0/24 读作"前 24 位是网络位"。IPv4 地址是 32 位二进制，前缀长度决定了"多少位用来标识网段"，剩下的位用来标识网段内的主机。所以：

• /24：24 位网络位 + 8 位主机位 → 256 个地址
• /16：16 + 16 → 65536 个地址
• /28：28 + 4 → 16 个地址

一条必须刻进脑子的换算：2 的幂。8 位 = 256，7 位 = 128，6 位 = 64，5 位 = 32，4 位 = 16。所有子网计算都建立在这几个数上。

掩码、反掩码与边界

掩码就是把网络位全写 1、主机位全写 0 的那个数。/24 是 255.255.255.0；/25 是 255.255.255.128；/26 是 255.255.255.192。发现规律了吗——主机位每少一位，最后一个八位组就减半：0 → 128 → 192 → 224 → 240 → 248 → 252。反掩码（wildcard）是掩码按位取反，ACL 和 OSPF 里用它。

最容易出错的是非整字节边界。192.168.1.64/26 这样的网段，边界出现在 64、128、192——不是 0 也不是 256 的倍数。判断"这个 IP 属于哪个 /26"，把地址除以 64 取整再乘 64 就行：100 ÷ 64 = 1.56 → 1 × 64 = 64，所以 100 在 192.168.1.64/26 段里。

划分的实用套路

从 /24 切小段，心里想这张表：

前缀	每段地址	可用主机	/24 可切几段
/25	128	126	2
/26	64	62	4
/27	32	30	8
/28	16	14	16
/30	4	2	64

实际规划时的经验值：每段预留 20%–30% 余量。业务要 50 个地址就划 /26（62 可用）而不是 /27（30 可用），因为事后在已分配的段里再抠地址是最痛苦的网络运维工作之一。

三个高频误区

误区一：/31 的两个地址都可用。 /24 到 /30 每段要扣除网络地址和广播地址，但 /31 按 RFC 3021 专门定义为点对点链路，两个地址都用；/32 干脆就是一台主机。所以"可用数 = 总数 - 2"只对 /30 及以上成立。

误区二：网络地址和广播地址"偶尔也能用"。 不能。网络地址出现在路由表里代表整段，广播地址发给全段设备，分配给主机必然出问题。

误区三：私有地址（192.168.x.x）不能上公网，所以不安全。 私有地址只是不在公网路由，安全性取决于 NAT 边界的防火墙策略，跟地址本身没有关系。内网横向渗透的案例几乎都发生在"以为内网就是安全的"环境里。

验算方法与工具

手动算完怕出错，两个验算动作：把算出的网络地址和掩码"与"一遍，应该还原出自身；把边界地址（第一个可用、最后一个可用、广播）代入工具复核。日常用 CIDR 计算器秒出掩码、网络 / 广播地址和可用范围，输入不会上传服务器，可以放心用在生产环境的地址规划里。

划好网段之后，用批量 IP 查询清点整段的实际归属，或用端口探测确认关键主机暴露情况——三件套配合，一段网络的家底十分钟摸清。

小结

• CIDR 前缀长度决定网段大小，核心是记住 2 的幂：128 / 64 / 32 / 16
• 非整字节边界（/25、/26）最容易算错，除以段大小取整乘回去即可定位
• /31 与 /32 是"减 2"规则的例外
• 规划留余量，划分靠表格，验算靠工具