Le masque de sous-réseau indique quelle partie d’une adresse IP désigne le réseau et quelle partie désigne la machine. La notation CIDR résume ce masque en un seul nombre après une barre oblique : /24, /26, /30. Tout administrateur réseau manipule ces deux notions chaque semaine, que ce soit pour câbler une agence, configurer une box professionnelle ou lire la fiche d’un pare-feu. Ce guide montre comment lire un masque, convertir une notation dans l’autre, puis calculer une adresse réseau et une adresse de diffusion à la main, sans calculatrice en ligne. La règle de référence est décrite par l’IETF dans la RFC 4632.
En bref. Un masque de sous-réseau est une suite de 32 bits : des 1 pour la partie réseau, des 0 pour la partie hôte. Le nombre de 1 donne la notation CIDR. Un /24 vaut 255.255.255.0 et accueille 254 machines. Pour trouver le réseau d’une adresse, on applique un ET logique bit à bit entre l’adresse et le masque.
Exemple : 192.168.10.77 avec un masque /26 appartient au réseau 192.168.10.64, dont la diffusion est 192.168.10.127 et les hôtes vont de .65 à .126.
Cet article fait partie de notre guide Les réseaux informatiques pour débutants. Si la notion d’adresse IP est encore floue, commencez par notre article sur l’adresse IP, puis revenez ici.
Qu’est-ce qu’un masque de sous-réseau ?
Un masque de sous-réseau est un nombre de 32 bits, écrit comme une adresse IPv4, qui sépare une adresse en deux zones. Les bits à 1 couvrent l’identifiant du réseau. Les bits à 0 couvrent l’identifiant de la machine, qu’on appelle l’hôte. Le masque 255.255.255.0 s’écrit en binaire 11111111.11111111.11111111.00000000 : 24 bits à 1, 8 bits à 0.
Prenez le poste d’un comptable configuré en 192.168.1.42 avec ce masque. Les trois premiers octets, 192.168.1, désignent le réseau du bureau. Le dernier octet, 42, désigne ce poste précis. Son voisin en 192.168.1.43 est sur le même réseau. Une imprimante en 192.168.2.10 n’y est pas : pour l’atteindre, le poste devra passer par la passerelle, en général le routeur ou la box.
C’est tout l’intérêt du masque. Il permet à chaque machine de répondre seule à une question : la destination est-elle sur mon réseau local, ou dois-je envoyer le paquet au routeur ? Sans masque, une adresse IP ne dit rien de l’étendue du réseau. Un masque mal saisi provoque d’ailleurs l’une des pannes les plus banales en entreprise : deux postes dans la même salle qui ne se voient pas.
Que signifie la notation CIDR ?
La notation CIDR (Classless Inter-Domain Routing) écrit le masque sous forme d’un préfixe : le nombre de bits à 1, précédé d’une barre oblique. 192.168.1.0/24 se lit « réseau 192.168.1.0, masque de 24 bits ». Elle remplace depuis 1993 l’ancien système des classes A, B et C, qui imposait des tailles fixes de réseau (/8, /16 ou /24) et gaspillait des millions d’adresses. La RFC 4632 en fixe aujourd’hui les règles.
Le tableau suivant donne les préfixes que vous rencontrerez le plus souvent sur un réseau d’entreprise. Le nombre d’hôtes utilisables vaut toujours le nombre d’adresses moins deux : la première adresse désigne le réseau lui-même, la dernière sert à la diffusion (broadcast).
| Préfixe CIDR | Masque décimal | Adresses | Hôtes utilisables | Usage courant |
|---|---|---|---|---|
| /16 | 255.255.0.0 | 65 536 | 65 534 | Plan d’adressage d’un groupe, découpé ensuite |
| /22 | 255.255.252.0 | 1 024 | 1 022 | Réseau Wi-Fi invités d’un grand site |
| /24 | 255.255.255.0 | 256 | 254 | Réseau bureautique d’une PME, box, VLAN |
| /25 | 255.255.255.128 | 128 | 126 | Un étage, un service |
| /26 | 255.255.255.192 | 64 | 62 | Téléphonie IP d’une agence |
| /27 | 255.255.255.224 | 32 | 30 | Caméras, imprimantes |
| /28 | 255.255.255.240 | 16 | 14 | Serveurs d’une petite salle technique |
| /29 | 255.255.255.248 | 8 | 6 | Bloc d’adresses publiques fourni par un opérateur |
| /30 | 255.255.255.252 | 4 | 2 | Liaison point à point entre deux routeurs |
Un repère pour passer d’une forme à l’autre : chaque octet du masque ne peut prendre que neuf valeurs, 0, 128, 192, 224, 240, 248, 252, 254 et 255. Elles correspondent à 0, 1, 2, 3, 4, 5, 6, 7 ou 8 bits à 1. Un masque comme 255.255.255.200 est donc impossible, et un équipement sérieux le refusera.
Comment calculer l’adresse réseau et l’adresse de diffusion ?
Pour trouver le réseau auquel appartient une adresse, on applique un ET logique entre l’adresse et le masque, bit par bit. Un bit du résultat vaut 1 seulement si le bit de l’adresse et le bit du masque valent tous les deux 1. L’adresse de diffusion s’obtient en passant à 1 tous les bits de la partie hôte. Voici le calcul complet pour 192.168.10.77/26.
- Repérer l’octet qui bouge. Un /26 utilise 24 bits sur les trois premiers octets, plus 2 bits dans le quatrième. Les trois premiers octets du réseau sont donc 192.168.10, inchangés. Seul le dernier octet, 77, demande un calcul.
- Écrire le dernier octet en binaire. 77 = 64 + 8 + 4 + 1, soit 01001101.
- Écrire le masque sur cet octet. Deux bits à 1 suivis de six bits à 0 : 11000000, soit 192 en décimal. Le masque complet est 255.255.255.192.
- Appliquer le ET. 01001101 ET 11000000 = 01000000, soit 64. L’adresse réseau est 192.168.10.64.
- Trouver la diffusion. On remplace les six bits d’hôte par des 1 : 01111111, soit 127. L’adresse de diffusion est 192.168.10.127.
- En déduire la plage utilisable. De 192.168.10.65 à 192.168.10.126, soit 62 machines. La passerelle occupe souvent la première adresse, .65.
Il existe un raccourci qui évite le binaire une fois le principe compris. Soustrayez la valeur de l’octet du masque à 256 : 256 moins 192 donne 64. Les sous-réseaux commencent donc tous les 64 : .0, .64, .128, .192. L’adresse 77 tombe dans le bloc qui commence à 64 et se termine juste avant 128, donc à 127. Vous retrouvez le même résultat en deux lignes. Les techniciens appellent souvent ce pas le « nombre magique ».
Formation liée
Le calcul de sous-réseaux, le plan d’adressage et la configuration des routeurs font partie du programme de notre formation Administrateur réseaux, 100 % à distance, animée par des professionnels des télécoms. City Académie est un organisme certifié Qualiopi. Voir le programme →
Comment découper un réseau d’entreprise en sous-réseaux ?
Découper, c’est emprunter des bits à la partie hôte pour créer plusieurs réseaux plus petits. Chaque bit emprunté double le nombre de sous-réseaux et divise par deux le nombre d’adresses de chacun. Un /24 découpé avec 2 bits supplémentaires donne quatre /26 de 64 adresses. Avec 3 bits, huit /27 de 32 adresses.
Imaginez une PME de 45 salariés qui reçoit le bloc 10.20.30.0/24 de son plan d’adressage. L’administrateur veut séparer les postes de travail, la téléphonie IP, les imprimantes et caméras, et un réseau pour les visiteurs. Quatre sous-réseaux, donc 2 bits empruntés : chacun reçoit un /26.
| Sous-réseau | Usage | Adresse réseau | Plage des hôtes | Diffusion |
|---|---|---|---|---|
| 10.20.30.0/26 | Postes de travail | 10.20.30.0 | 10.20.30.1 à 10.20.30.62 | 10.20.30.63 |
| 10.20.30.64/26 | Téléphones IP | 10.20.30.64 | 10.20.30.65 à 10.20.30.126 | 10.20.30.127 |
| 10.20.30.128/26 | Imprimantes et caméras | 10.20.30.128 | 10.20.30.129 à 10.20.30.190 | 10.20.30.191 |
| 10.20.30.192/26 | Wi-Fi visiteurs | 10.20.30.192 | 10.20.30.193 à 10.20.30.254 | 10.20.30.255 |
Ce découpage à tailles égales reste le plus lisible pour débuter. Quand les besoins diffèrent beaucoup, par exemple 100 postes mais seulement 6 imprimantes, on utilise des masques de longueur variable (VLSM) : un /25 pour les postes, un /29 pour les imprimantes, et le reste conservé pour plus tard. Le principe de calcul ne change pas, seul le préfixe varie d’un bloc à l’autre.
Les adresses de cet exemple appartiennent aux plages privées définies par la RFC 1918 : 10.0.0.0/8, 172.16.0.0/12 et 192.168.0.0/16. Elles ne circulent jamais sur Internet et peuvent être réutilisées librement dans chaque entreprise.
Pourquoi segmenter un réseau plutôt que tout mettre dans un seul /24 ?
Segmenter sert d’abord à contenir. Un trafic de diffusion, par exemple une requête ARP ou DHCP, atteint toutes les machines d’un même sous-réseau. Sur un réseau de 1 000 machines, ce bruit de fond finit par peser. Découpé en segments de 60 à 250 postes, chacun reste calme.
La deuxième raison tient à la sécurité. Si les caméras sont dans leur propre sous-réseau, le pare-feu peut interdire tout échange entre elles et les postes de la comptabilité. Un équipement compromis reste cantonné à son segment. C’est aussi ce qui permet d’offrir un accès Wi-Fi aux visiteurs sans leur ouvrir les serveurs. Dans la pratique, chaque sous-réseau correspond souvent à un VLAN sur les commutateurs, sujet que nous abordons dans l’article sur les réseaux LAN et leurs topologies.
Enfin, le découpage facilite le routage et le diagnostic. Quand un ticket arrive avec l’adresse 10.20.30.140, l’administrateur sait avant même de se déplacer qu’il s’agit d’une imprimante ou d’une caméra. Le masque et le CIDR relèvent de la couche 3 du modèle OSI, la couche réseau, dont nous détaillons le rôle dans notre article sur les 7 couches du modèle OSI.
Quelles erreurs éviter quand on débute ?
- Oublier les deux adresses réservées. Un /30 contient 4 adresses mais 2 hôtes seulement. Un technicien qui attribue l’adresse de diffusion à un serveur le rend injoignable.
- Mélanger les masques sur un même segment. Un poste en /24 et son voisin en /25 ne partagent pas la même idée du réseau. L’un voit l’autre, la réciproque n’est pas vraie.
- Placer la passerelle hors du sous-réseau. Un poste en 192.168.10.70/26 avec une passerelle en 192.168.10.1 ne sortira jamais : .1 est dans un autre bloc.
- Dimensionner au plus juste. Un /27 pour 28 postes laisse 2 adresses libres. Le premier recrutement ou la première borne Wi-Fi supplémentaire oblige à tout renuméroter. Prévoyez le double.
- Croire que le masque protège. Il organise le trafic, il ne le filtre pas. Le filtrage, c’est le rôle du pare-feu ou des listes d’accès du routeur.
Et en IPv6 ?
IPv6 n’utilise plus de masque décimal, seulement la notation CIDR, sur 128 bits. Un réseau local reçoit presque toujours un /64, ce qui laisse 64 bits pour les hôtes, soit plus d’adresses que n’importe quel site n’en consommera. Un opérateur attribue en général un /48 ou un /56 à une entreprise, qu’elle découpe ensuite en /64, un par VLAN. Le raisonnement reste le même qu’en IPv4 : les bits de gauche désignent le réseau, ceux de droite la machine.
Ce qu’il faut retenir
Le masque de sous-réseau sépare le réseau de l’hôte, la notation CIDR compte ses bits à 1, et un ET logique suffit à retrouver l’adresse réseau. Mémorisez trois préfixes, /24, /26 et /30, et le raccourci du nombre magique : vous résoudrez la plupart des cas rencontrés dans une PME. Pour vous entraîner, prenez l’adresse de votre propre poste, relevez son masque et calculez à la main son réseau et sa plage d’hôtes, puis vérifiez avec la configuration du routeur.
Envie de pratiquer sur de vrais équipements et de construire un plan d’adressage complet ? Découvrez notre formation Administrateur réseaux à distance ou parcourez le catalogue des formations informatiques de City Académie.
Questions fréquentes
Comment connaître le masque de sous-réseau de mon ordinateur ?
Sous Windows, ouvrez l’invite de commandes et tapez ipconfig : la ligne « Masque de sous-réseau » s’affiche sous l’adresse IPv4. Sous Linux ou macOS, la commande ip a ou ifconfig donne directement le préfixe CIDR, par exemple 192.168.1.42/24. Sur une box professionnelle, l’information figure dans la page d’administration, rubrique réseau local ou DHCP.
Quelle différence entre /24 et 255.255.255.0 ?
Aucune : ce sont deux écritures du même masque. /24 est la notation CIDR, qui compte les 24 bits à 1. 255.255.255.0 est la notation décimale pointée, que l’on retrouve dans les anciennes interfaces de configuration. Les équipements récents acceptent les deux, et beaucoup n’affichent plus que le préfixe.
Combien de machines peut-on mettre dans un /26 ?
Un /26 contient 64 adresses, dont 62 utilisables par des machines. Les deux autres sont réservées : la première pour l’adresse réseau, la dernière pour la diffusion. Si la passerelle occupe aussi une adresse, il reste 61 places pour les postes, téléphones ou imprimantes.
Qu’est-ce que l’adresse de broadcast ?
L’adresse de broadcast, ou adresse de diffusion, est la dernière adresse d’un sous-réseau. Un paquet envoyé à cette adresse est reçu par toutes les machines du segment. Elle sert par exemple aux requêtes DHCP, quand un poste qui vient de démarrer cherche un serveur sans connaître encore son adresse. On ne l’attribue jamais à un équipement.
Faut-il encore apprendre à calculer à la main ?
Oui, au moins pour les préfixes courants. Les calculateurs en ligne donnent un résultat, pas une compréhension, et ils ne sont pas toujours accessibles depuis une salle serveur ou en intervention chez un client. Les examens de certification réseau et les entretiens techniques comportent presque toujours un exercice de ce type, à résoudre sans outil.
