O que e subnet

Definição formal: RFC 950 e máscara de sub-rede

A RFC 950 (J. Mogul e J. Postel, agosto de 1985, "Internet Standard Subnetting Procedure") foi o primeiro documento a padronizar o conceito de subnetting para IPv4. Ela define que qualquer parte dos bits de host de um endereço classful pode ser "emprestada" para criar bits de sub-rede adicionais, aumentando o número de segmentos sem precisar de um novo bloco de endereços.

A máscara de sub-rede é um número de 32 bits onde os bits de rede (e sub-rede) valem 1 e os bits de host valem 0. A operação AND lógico entre o endereço IP do host e a máscara revela o endereço de rede. Exemplo: 192.168.5.45 AND 255.255.255.0 = 192.168.5.0. Esse resultado identifica a qual sub-rede o endereço pertence.

O CIDR, definido posteriormente pela RFC 4632, generalizou esse conceito eliminando a noção de classes e tornando a máscara completamente variável. Hoje "subnet mask" e "prefixo CIDR" são expressões equivalentes: 255.255.255.0 é igual a /24, 255.255.255.192 é igual a /26.

Por que dividir em sub-redes

Antes do subnetting, uma organização com um endereço Classe B (por exemplo, 172.16.0.0) tinha um único domínio de broadcast com até 65.534 hosts. Broadcasts de ARP chegavam a todos os dispositivos da rede inteira. Em links de longa distância, isso congestionava links lentos. Um único storm de ARP podia derrubar a comunicação entre escritórios.

A RFC 950 resolveu isso permitindo dividir o espaço Classe B em centenas de redes menores com máscaras estendidas. Uma empresa com dez escritórios em cidades diferentes poderia alocar um /24 para cada, mantendo broadcasts locais dentro de cada segmento. O roteador entre as sub-redes filtra os broadcasts e só passa o tráfego endereçado a outro segmento.

Três razões concretas para subnetting hoje:

• Isolamento de broadcasts. Cada sub-rede tem seu próprio domínio de broadcast. Nenhum ARP, DHCP Discover ou pacote de broadcast de um segmento chega aos outros. Isso aumenta o desempenho e reduz o tráfego desnecessário.
• Segurança por segmentação. Firewalls e ACLs aplicados no roteador entre sub-redes controlam quem pode falar com quem. Servidores num /26 separado ficam inacessíveis para a rede Wi-Fi de visitantes em outro /26, mesmo dentro do mesmo prédio.
• Eficiência de endereçamento. Com VLSM, cada segmento recebe exatamente o tamanho que precisa. Um link ponto a ponto entre dois roteadores usa /30 (2 hosts usáveis), não um /24 inteiro desperdiçando 252 endereços.

Como sub-redes funcionam na prática

Quando um host em 192.168.1.10/24 tenta se comunicar com 192.168.2.10/24, o sistema operacional aplica a máscara /24 aos dois endereços e compara o resultado. O AND de 192.168.1.10 com /24 resulta em 192.168.1.0. O AND de 192.168.2.10 com /24 resulta em 192.168.2.0. São diferentes: o destino está em outra sub-rede. O pacote vai para o gateway padrão (roteador), que consulta a tabela de roteamento e decide o próximo salto.

Dentro de uma mesma sub-rede, hosts se comunicam diretamente via ARP, sem passar pelo roteador. Isso é o "domínio de broadcast": qualquer frame de broadcast é recebido por todos os hosts do segmento. Uma sub-rede menor reduz esse domínio, o que diminui colisões de broadcast e a superfície de ataque de protocolos que usam broadcast para descoberta (SAMBA/NetBIOS, mDNS, DHCP).

O tráfego entre sub-redes sempre passa por um roteador (ou por uma interface de roteamento em switch L3). Isso cria um ponto de controle natural onde firewalls e ACLs operam. Uma política comum: segmento de servidores em /26 com ACL que só aceita conexões da sub-rede de gerência em outro /27. O restante da rede não alcança os servidores diretamente.

A operação AND e o cálculo da rede

A lógica de subnetting se resume a uma operação binária simples. Para descobrir o endereço de rede de um host, aplique AND bit a bit entre o endereço IP e a máscara.

Exemplo com 192.168.10.100/26:

• Endereço: 192.168.10.100 = 11000000.10101000.00001010.01100100
• Máscara /26: 11111111.11111111.11111111.11000000
• AND resultante: 11000000.10101000.00001010.01000000 = 192.168.10.64

O endereço de rede dessa sub-rede é 192.168.10.64. O broadcast é o último endereço do bloco: 192.168.10.127. Hosts usáveis: de .65 a .126 (62 endereços).

Esse cálculo é feito automaticamente pelo kernel de qualquer sistema operacional cada vez que um pacote é enviado. Para testes manuais, o comando ipcalc 192.168.10.100/26 no Linux retorna todos os valores. No Windows, Get-NetIPAddress via PowerShell lista os prefixos ativos.

VLSM: tamanhos variáveis por necessidade

VLSM (Variable Length Subnet Masking) é a técnica de usar máscaras de comprimentos diferentes dentro do mesmo espaço de endereçamento. Antes do VLSM, as sub-redes de uma organização precisavam ter todas o mesmo tamanho. Com VLSM, você dimensiona cada segmento pelo número real de hosts que ele vai conter.

A regra prática de VLSM: comece alocando os blocos maiores primeiro, depois os menores. Isso garante alinhamento binário e facilita a sumarização futura. Um /26 precisa começar em endereço que seja múltiplo de 64 (0, 64, 128, 192 no último octeto). Um /27 precisa começar em múltiplo de 32. Furar esse alinhamento cria blocos que não podem ser sumarizados e geram entradas extras na tabela de roteamento.

Sub-redes em IPv6

O conceito de sub-rede em IPv6 funciona da mesma forma que em IPv4: a máscara divide o endereço em parte de rede e parte de host. Mas a prática é diferente. No IPv6, o tamanho de sub-rede padrão para LANs é /64, ponto pacífico na comunidade de rede porque o SLAAC (Stateless Address Autoconfiguration) foi projetado especificamente para funcionar com /64. Sub-redes menores que /64 quebram o SLAAC.

Um /64 em IPv6 tem 2 elevado a 64 endereços possíveis de host: cerca de 18 quintilhões. Qualquer rede local, por maior que seja, cabe num /64 com sobra astronômica. O planejamento de IPv6 não questiona "quantos hosts por segmento" mas "quantas sub-redes o site vai precisar". Um /48 alocado para uma empresa oferece 65.536 sub-redes /64, suficiente para qualquer campus universitário ou datacenter.

No Brasil, o prefixo 2804::/12 é o espaço LACNIC para IPv6. ISPs brasileiros recebem sub-blocos desse espaço (tipicamente /32) e distribuem /48 ou /56 para clientes corporativos e /64 para residenciais.

VLAN vs subnet: conceitos complementares

VLAN (Virtual LAN) e subnet são frequentemente confundidos porque costumam ser configurados juntos, mas pertencem a camadas diferentes do modelo OSI.

Em redes modernas, é comum que cada VLAN tenha exatamente uma subnet associada. O switch L3 ou o roteador faz o inter-VLAN routing: recebe o pacote da VLAN 10, verifica se o destino está na VLAN 20, e encaminha pelo trunk. Esse padrão simplifica a operação porque separa os dois conceitos de forma previsível.

Erros comuns de planejamento de subnets

Subnetting parece simples, mas projetos mal planejados geram retrabalho caro. Os erros mais frequentes em redes brasileiras de pequeno e médio porte:

• Usar um único /24 para toda a rede. Com tudo num segmento, um único host comprometido pode sniffar todo o broadcast da empresa. A separação mínima recomendada é um segmento para servidores, outro para workstations, outro para impressoras e IoT.
• Sobredimensionar sub-redes por "segurança". Alocar /21 para um segmento que vai ter 20 hosts desperdiça 2.027 endereços que poderiam servir outros segmentos. Use VLSM.
• Não reservar espaço para crescimento. Dimensionar para 100% de ocupação imediata força reendereçamento quando a rede cresce. O padrão prático é não passar de 70-80% de ocupação.
• Sobreposição de blocos em VPN site a site. Dois escritórios com 192.168.1.0/24 não conseguem se comunicar via VPN sem configuração adicional complexa (NAT duplo ou reendereçamento).
• Misturar comprimentos de máscara na mesma VLAN. Se o gateway usa /24 e um host usa /27, o host pode enviar pacotes diretamente para endereços que o gateway já entende como outra sub-rede.

Perguntas frequentes sobre subnets