Se você está começando em redes ou já precisou configurar um equipamento e travou naquele campo "máscara de sub-rede", este texto foi feito para você. Entender o que é máscara de sub-rede é um dos primeiros degraus de quem quer trabalhar com infraestrutura de TI, cloud computing ou cibersegurança — e também uma das dúvidas mais recorrentes de quem está estudando para certificações. A boa notícia é que o conceito é mais simples do que parece, desde que explicado com exemplos práticos em vez de definições soltas.
Aqui você vai encontrar a lógica por trás da máscara, a diferença entre ela e o gateway padrão (confusão clássica de quem está aprendendo), como ler e converter as notações decimal e CIDR, e o passo a passo do cálculo manual de endereço de rede, broadcast e hosts utilizáveis. Também abordamos pontos que costumam ficar de fora das explicações básicas: como verificar a máscara configurada no Windows, no Linux e no roteador, quais sintomas aparecem quando ela está errada e o que muda no IPv6.
Ao final, você terá repertório para planejar uma segmentação de rede com segurança e diagnosticar falhas de comunicação com mais autonomia. Se quiser aprofundar o tema dentro de uma trilha estruturada, o curso de Redes de Computadores da DEFTEC cobre esses fundamentos e avança até configurações mais complexas.
O que é máscara de sub-rede, afinal?
A máscara de sub-rede é um número de 32 bits que acompanha todo endereço IPv4 e determina qual parte dele identifica a rede e qual parte identifica o host. Sem essa separação explícita, um roteador não consegue saber se o destino de um pacote está na mesma rede local ou se precisa ser encaminhado para fora. Na prática, a máscara funciona como um filtro binário: onde há bit 1, o bit correspondente do IP pertence à rede; onde há bit 0, pertence ao host.
O termo "máscara" vem justamente dessa ideia de sobreposição. Ao aplicar a operação lógica AND entre o endereço IP e a máscara, você obtém o endereço de rede. Por exemplo, o IP 192.168.1.50 com máscara 255.255.255.0 pertence à rede 192.168.1.0, e o número 50 é o identificador do host dentro dela. Esse mecanismo é o alicerce do roteamento IP e aparece em qualquer configuração de interface de rede, do roteador doméstico ao servidor em nuvem.
Profissionais que trabalham com infraestrutura, cloud computing e cibersegurança lidam com máscaras diariamente — seja ao planejar uma segmentação de rede, seja ao diagnosticar falhas de comunicação. Entender o conceito com profundidade é pré-requisito para avançar em trilhas como as de certificação Cisco e de administração de sistemas Linux.
Para que serve a máscara de sub-rede na prática
A função central da máscara de sub-rede é permitir que um dispositivo decida, sem consultar nada externo, se outro IP está no mesmo segmento local. Se estiver, a comunicação ocorre diretamente via protocolo ARP e switch. Se não estiver, o pacote é enviado ao gateway padrão, que assume a responsabilidade de roteá-lo. Essa decisão local é o que torna a internet escalável: cada host só precisa conhecer sua própria vizinhança imediata.
Além do roteamento básico, a máscara é a ferramenta que viabiliza a segmentação de redes corporativas. Um administrador pode dividir um bloco recebido do provedor em sub-redes menores para isolar departamentos, reduzir domínio de broadcast e aplicar políticas de segurança distintas. A mesma lógica se aplica em ambientes de nuvem, onde cada VPC ou subnet recebe um prefixo CIDR que define quantos IPs estarão disponíveis para instâncias e serviços.
Separar rede e host dentro do endereço IP
Todo endereço IPv4 tem 32 bits, mas a fronteira entre a porção de rede e a porção de host varia conforme a máscara. Em uma máscara 255.255.255.0, os primeiros 24 bits são rede e os últimos 8 são host — o que permite 256 combinações, das quais duas são reservadas (endereço de rede e broadcast). Já em uma máscara 255.255.0.0, os últimos 16 bits identificam hosts, elevando o total para 65.536 combinações possíveis.
Essa flexibilidade tem custo: quanto mais bits de host, maior o domínio de broadcast e mais ruído na rede. Por isso, redes com milhares de dispositivos raramente usam uma única sub-rede grande. A escolha da máscara é sempre um equilíbrio entre quantidade de sub-redes desejada e número de hosts por sub-rede, decisão que exige cálculo antes de qualquer configuração.
Máscara de sub-rede x gateway padrão: qual a diferença
Confundir máscara e gateway é um dos erros mais frequentes de quem está começando. A máscara define o tamanho da rede local — onde ela começa e onde termina. O gateway padrão é um endereço IP específico, geralmente o primeiro ou o último utilizável da sub-rede, que serve como porta de saída para o tráfego destinado a outras redes.
- Máscara: delimita a sub-rede; não é um endereço de destino.
- Gateway: é um host real (roteador) dentro da sub-rede.
- Função da máscara: classificar destinos como locais ou remotos.
- Função do gateway: encaminhar pacotes para fora do segmento local.
- Erro típico: usar o endereço de rede ou de broadcast como gateway.
Um host com máscara correta, mas gateway errado, navega apenas na rede local. Com gateway correto e máscara errada, ele pode tentar resolver via ARP um IP que está em outro segmento — e a comunicação simplesmente falha. Os dois parâmetros precisam estar coerentes entre si e com o plano de endereçamento da rede.
Como ler uma máscara de sub-rede em binário e decimal
A máscara é tradicionalmente escrita em quatro octetos decimais separados por pontos, como 255.255.255.0. Cada octeto representa 8 bits, e o valor 255 corresponde a oito bits ligados (11111111). A leitura binária revela o padrão essencial: a máscara é sempre uma sequência contígua de bits 1 seguida de bits 0 — nunca há alternância como 11101110.
Essa propriedade permite a notação CIDR, que condensa a máscara em um único número após uma barra. Em vez de escrever 255.255.255.0, escreve-se /24, indicando 24 bits de rede. A notação CIDR reduziu drasticamente os erros de digitação em configurações e se tornou o padrão em roteadores, switches, firewalls e provedores de nuvem.
Notação decimal (255.255.255.0) e notação CIDR (/24)
Converter entre as duas notações exige apenas somar os bits ligados de cada octeto. O octeto 255 vale 8 bits; 128 vale 1; 192 vale 2; 224 vale 3; 240 vale 4; 248 vale 5; 252 vale 6; 254 vale 7. Assim, 255.255.255.128 equivale a /25, pois são três octetos completos (24 bits) mais 1 bit do último octeto.
Máscaras que não terminam em octeto completo são chamadas de máscaras de comprimento variável (VLSM). Elas permitem granularidade fina: um /26 cria sub-redes de 64 endereços, um /27 de 32, e assim por diante. Dominar essa conversão é o primeiro passo para calcular planos de endereçamento sem depender de calculadoras online.
Tabela de referência: prefixos CIDR e máscaras equivalentes
- /8 — 255.0.0.0 — 16.777.216 endereços totais.
- /16 — 255.255.0.0 — 65.536 endereços totais.
- /24 — 255.255.255.0 — 256 endereços totais.
- /25 — 255.255.255.128 — 128 endereços totais.
- /26 — 255.255.255.192 — 64 endereços totais.
- /27 — 255.255.255.224 — 32 endereços totais.
- /28 — 255.255.255.240 — 16 endereços totais.
- /29 — 255.255.255.248 — 8 endereços totais.
- /30 — 255.255.255.252 — 4 endereços totais (2 utilizáveis).
O /31, definido pela RFC 3021, permite enlaces sem endereço de rede e broadcast, mas ainda encontra resistência em equipamentos legados. Em nuvem, a AWS exige blocos entre /16 e /28 para VPCs, enquanto subnets internas podem variar conforme a necessidade de IPs para serviços como containers Docker.
Como calcular a máscara de sub-rede passo a passo
O cálculo manual exige apenas aritmética binária básica e atenção a dois números reservados por sub-rede. Todo bloco perde o primeiro endereço (identificador de rede) e o último (broadcast). Portanto, o número de hosts utilizáveis é sempre 2 elevado ao número de bits de host, menos 2.
Para quem está se preparando para provas de certificação ou atuando em mercado de TI, fazer esses cálculos sem ferramenta é habilidade esperada. O processo se divide em três etapas: identificar o endereço de rede, determinar o broadcast e calcular a faixa de hosts válidos.
Descobrir o endereço de rede e o de broadcast
Dado um IP e sua máscara, o endereço de rede é o resultado do AND bit a bit. Com 172.16.45.14/24, o AND com 255.255.255.0 preserva os três primeiros octetos e zera o último: 172.16.45.0. O broadcast é o endereço de rede com todos os bits de host ligados: 172.16.45.255.
Para máscaras não alinhadas a octeto, o cálculo exige converter o octeto de fronteira para binário. Em 192.168.1.100/26, o último octeto 100 em binário é 01100100. Os dois primeiros bits (valor 128 e 64) pertencem à rede; o restante é host. O endereço de rede vira 192.168.1.64, e o broadcast, 192.168.1.127.
Calcular quantos hosts cabem em cada sub-rede
- Subtraia o prefixo de 32 para obter os bits de host.
- Eleve 2 ao número de bits de host.
- Subtraia 2 do resultado (rede e broadcast).
- Exemplo /26: 32 − 26 = 6 bits de host.
- 2⁶ = 64 endereços totais; 64 − 2 = 62 hosts utilizáveis.
Em um /27, restam 5 bits de host, resultando em 30 IPs utilizáveis por sub-rede. Esse número cai pela metade a cada bit adicional emprestado da porção de host. A regra é direta, mas o planejamento exige prever crescimento: uma sub-rede com 30 hosts pode esgotar rapidamente se o departamento dobrar de tamanho.
Dividir uma rede em várias sub-redes
Para subdividir um bloco, você "empresta" bits da porção de host para ampliar a porção de rede. Cada bit emprestado dobra o número de sub-redes e reduz pela metade os hosts por sub-rede. Partindo de 192.168.10.0/24 e emprestando 2 bits, obtém-se 4 sub-redes /26: .0 a .63, .64 a .127, .128 a .191 e .192 a .255.
- 1 bit emprestado: 2 sub-redes, 126 hosts cada.
- 2 bits emprestados: 4 sub-redes, 62 hosts cada.
- 3 bits emprestados: 8 sub-redes, 30 hosts cada.
- 4 bits emprestados: 16 sub-redes, 14 hosts cada.
- 5 bits emprestados: 32 sub-redes, 6 hosts cada.
Esse método, chamado VLSM, permite criar sub-redes de tamanhos diferentes no mesmo bloco — por exemplo, um /24 para a rede de servidores e um /26 para um enlace de filial. Ferramentas de infraestrutura como código automatizam esse planejamento, mas o raciocínio subjacente permanece manual.
Classes de IP ainda importam? O que mudou com o CIDR
Antes de 1993, a internet usava endereçamento classful: classe A (/8), classe B (/16) e classe C (/24), com máscaras fixas implícitas no primeiro octeto. Uma organização que precisava de 300 hosts recebia uma classe B inteira com 65.536 endereços — desperdício brutal que acelerou o esgotamento do IPv4. O CIDR (Classless Inter-Domain Routing) eliminou a rigidez, permitindo prefixos de qualquer comprimento.
Hoje, falar em "classe C" é apenas uma referência informal a um bloco /24, não uma regra de configuração. Nenhum roteador moderno exige máscara alinhada à classe; provedores alocam blocos como /22 ou /29 conforme a necessidade real. Quem estuda redes precisa entender o modelo classful por razão histórica e para interpretar questões de certificação, mas configura tudo no paradigma classless.
O CIDR também viabilizou a agregação de rotas: em vez de anunciar 256 rotas /24, um provedor anuncia um único /16. Essa sumarização reduziu drasticamente o tamanho das tabelas de roteamento globais. O mesmo princípio se aplica dentro de data centers e ambientes de infraestrutura hiperconvergente, onde a eficiência do plano de endereçamento afeta diretamente a operação.
Máscara de sub-rede em IPv6: o que muda
O IPv6 abandona a máscara decimal e adota exclusivamente a notação CIDR. Um endereço típico como 2001:db8:abcd:0012::1/64 tem 128 bits, dos quais os primeiros 64 identificam a sub-rede e os últimos 64 identificam o host. Não existe equivalente a "255.255.255.0" no IPv6; a barra e o número são a única forma de expressar o prefixo.
O /64 é o tamanho padrão de sub-rede em IPv6, recomendado pela RFC 4291 para permitir autoconfiguração sem estado (SLAAC). Como o espaço é vasto — 2⁶⁴ endereços por sub-rede —, não há a escassez que motiva cálculos minuciosos no IPv4. Prefixos menores, como /48 para sites e /56 para clientes residenciais, são alocados por provedores com folga generosa.
- /32: bloco mínimo alocado a provedores regionais.
- /48: alocação típica para uma empresa.
- /56: comum em conexões residenciais.
- /64: sub-rede padrão para LAN.
- /127: enlace ponto a ponto entre roteadores.
- /128: endereço único, como loopback.
Quem migra do IPv4 costuma estranhar a ausência de broadcast no IPv6 — a função é substituída por endereços multicast de escopo definido. Também não há cálculo de "hosts utilizáveis menos dois", pois o espaço é tratado como praticamente ilimitado. A lógica de separação rede/host, porém, permanece idêntica em essência.
Erros comuns ao configurar máscara de sub-rede
O erro mais frequente é usar máscaras inconsistentes entre dispositivos da mesma LAN. Se um host usa /24 e outro /25, eles discordam sobre o tamanho da rede: um IP que o primeiro considera local pode ser visto como remoto pelo segundo. O sintoma clássico é comunicação intermitente — alguns pares funcionam, outros não, sem padrão óbvio.
Outro equívoco recorrente é atribuir o endereço de rede ou de broadcast a um host. Em 10.0.0.0/24, configurar um servidor com IP 10.0.0.0 ou 10.0.0.255 gera conflito imediato, pois esses endereços são reservados. O mesmo vale para gateway: definir o gateway fora da faixa da sub-rede torna todo tráfego externo inalcançável.
- Máscara errada em um único host: falha de comunicação parcial e intermitente.
- Gateway fora da sub-rede: sem acesso a redes externas.
- IP de rede ou broadcast em host: conflito e recusa de configuração.
- Sub-redes sobrepostas: rotas ambíguas e loops de roteamento.
- Ignorar o /31 em enlaces: desperdício de IPs em links ponto a ponto.
Sub-redes sobrepostas são especialmente perigosas em ambientes com múltiplos sites conectados por VPN. Se a matriz usa 192.168.0.0/16 e uma filial usa 192.168.1.0/24, o tráfego destinado à filial pode nunca sair da matriz. Ferramentas de planejamento e documentação — prática reforçada em metodologias como GitOps — evitam esse tipo de colisão.
Como conferir sua máscara no Windows, no Linux e no roteador
No Windows, o comando ipconfig exibe a máscara de cada adaptador logo abaixo do endereço IPv4. Para diagnóstico mais detalhado, ipconfig /all inclui gateway, DNS e estado do DHCP. No PowerShell, Get-NetIPAddress retorna o prefixo no formato CIDR (por exemplo, 24 em vez de 255.255.255.0).
No Linux, o comando ip addr ou ip a lista as interfaces com o prefixo CIDR diretamente — como 192.168.1.10/24. O comando legado ifconfig ainda existe em muitas distribuições, mas exibe a máscara em decimal. Para a tabela de rotas, ip route mostra o gateway padrão e as rotas locais, permitindo verificar a coerência entre máscara e rota.
No roteador doméstico, a máscara aparece na página de configuração da LAN, geralmente em "Configurações de rede" ou "DHCP". Roteadores em modo bridge ou com VLANs exibem múltiplas sub-redes, cada uma com sua máscara. Em equipamentos corporativos, o acesso via CLI com comandos como show ip interface (Cisco) ou display ip interface (Huawei) revela a configuração real aplicada, não apenas a pretendida.
Perguntas frequentes sobre máscara de sub-rede
Qual a máscara de sub-rede mais usada em redes domésticas?
A esmagadora maioria dos roteadores domésticos sai de fábrica com 255.255.255.0 (/24), o que permite até 254 dispositivos conectados. É mais que suficiente para residências e pequenos escritórios, e simplifica a configuração manual. Redes maiores ou com muitos dispositivos IoT às vezes migram para /23 ou /22 para ampliar a capacidade sem alterar a estrutura lógica.
O que acontece se eu colocar a máscara errada?
Depende da direção do erro. Uma máscara mais ampla que a correta faz o host enxergar IPs remotos como locais, gerando tentativas de ARP que nunca serão respondidas. Uma máscara mais estreita faz o host tratar IPs locais como remotos, enviando ao gateway tráfego que deveria seguir direto. Nos dois casos, o sintoma é perda de conectividade parcial ou total, muitas vezes sem mensagem de erro clara.
Máscara de sub-rede e máscara de rede são a mesma coisa?
Sim, os termos são sinônimos no contexto IPv4. "Máscara de rede" é a tradução direta de netmask, comum em sistemas Unix e em documentação técnica em inglês. "Máscara de sub-rede" é o termo mais difundido no Brasil e em materiais da Cisco. Ambos se referem ao mesmo campo de 32 bits que define a fronteira entre rede e host.
