IPv4 子网计算器

它表示的是位数，而不是地址数。IPv4 地址共 32 位，前缀表示从左数起有多少位对网络中的所有机器都是固定的。/24 固定了前 24 位（192.168.1），留下 8 位可变，也就是 256 种组合。这种表示法叫做 CIDR，它在 1993 年取代了旧的分类体系，正是因为网络的大小从此不必与八位组边界对齐：/23 和 /25 与 /24 一样合法，而且地址块实际上就是这样分配的。

256 个地址中有两个已被占用。主机位全为 0 的地址（192.168.1.0）是网络地址，它在路由表中代表这个子网，不能分配给接口。主机位全为 1 的地址（192.168.1.255）是定向广播地址，网段上的每台主机都会收到。剩下的就是 .1 到 .254。任何大小的子网都要减去这两个，所以 /26 只有 62 个而不是 64 个，/30 也只有 4 个中的 2 个。

因为 RFC 3021 为这一种情况免除了预留。/31 正好只有两个地址，如果一个留作网络地址、一个留作广播地址，就什么都不剩了。在两台路由器之间的点对点链路上并不需要广播地址（对端只有一台设备，发给它就等于广播），所以两个地址都分配出去，链路也不再浪费半个 /30。当前所有路由器都支持这种做法；一些较老的主机协议栈仍然不接受，这也是 /30 至今依然常见的唯一原因。

它是子网掩码按位取反的结果：子网掩码中为 1 的位，在反掩码中为 0。/24 的掩码是 255.255.255.0，所以反掩码是 0.0.0.255。之所以反过来，是因为它回答的是另一个问题：掩码标记必须匹配的位，反掩码标记可以自由变化的位。Cisco IOS 访问控制列表和 OSPF 的 network 语句使用的都是反掩码，所以 ACL 写成 192.168.1.0 0.0.0.255，而不是你在接口上配置的那种掩码。把两者弄反，是写出匹配范围远超预期的规则的经典方式。

因为它的 1 位不连续。掩码必须是一串连续的 1 后接一串连续的 0，因为这是前缀唯一可能的形态：路由硬件匹配的是开头的一串位，能表达“前 N 位”，却无法表达“这几个分散的位”。早期实现在技术上允许不连续的掩码，结果导致无法路由，所以 CIDR 禁止了它们。如果你发现自己想用这样的掩码，你真正需要的要么是另一个前缀，要么是一条防火墙规则。

先算出接口数量（不是人数，别忘了打印机、无线接入点和网关本身都各占一个），然后找出可用地址数仍能超过这个数量的最小地址块。25 台主机需要 /27，因为 /27 提供 30 个，而 /28 只有 14 个。如果这个网段有可能扩大，就比计算结果再多留一位，因为给运行中的子网重新编址，远比第一天就分配一个稍大的地址块更折腾。本页的容量规划面板会帮你查找，参考表则列出了完整的阶梯。

不是。RFC 1918 地址在公网上不可路由，意思是没有 ISP 会转发它们；但这不代表没有任何东西能访问它们。任何已经在边界内部的东西都能顺利访问：VPN 客户端、被入侵的笔记本电脑、同一主机上的容器，或者两个都使用 192.168.1.0/24 的站点之间配置错误的路由。私有地址只是一种编址决策，用来节省公网地址空间并迫使流量经过 NAT；真正起控制作用的是防火墙，而不是地址范围。

因为 /12 的边界不落在八位组上。12 个固定位覆盖了第一个八位组和第二个八位组的高四位，所以第二个八位组可以在 16 到 31 之间变化：从 172.16.0.0 到 172.31.255.255。这在两个方向上都容易让人出错：172.15.0.0 和 172.32.0.0 是属于别人的公网地址，而把这个地址块写成 172.16.0.0/16，会悄无声息地丢掉十六分之十五的可用私有地址空间。