Se você já se deparou com uma máscara como 255.255.255.192 ou com a notação /26 e não soube dizer quantos hosts aquele bloco comporta, você não está sozinho. Entender o que é subnetting é uma das barreiras mais comuns para quem está começando em redes de computadores — e também uma das mais cobradas em provas de certificação e em entrevistas técnicas. O conceito assusta menos pelo grau de dificuldade e mais pela forma como costuma ser ensinado: tabelas decoradas, calculadoras online e pouca conexão com o dia a dia de quem administra uma rede de verdade.
A consequência aparece na prática. Redes planas demais, faixas de endereço desperdiçadas, broadcast sobrecarregando switches e nenhuma segmentação entre setores que deveriam ficar isolados. Quem planeja mal a divisão de uma rede IP costuma descobrir o problema tarde, quando já é preciso refazer o endereçamento e reconfigurar dispositivos.
Este guia foi feito para quem quer sair da dependência de ferramentas e calcular sub-redes à mão, com segurança. Ao longo do texto, você vai ver a lógica por trás da máscara de sub-rede, o passo a passo do cálculo, um cenário de escritório com necessidades desiguais, os erros de planejamento mais frequentes e como validar tudo com comandos reais. A proposta é que, ao final, você consiga olhar para um bloco e enxergar as sub-redes possíveis — sem consultar tabela.
O que é subnetting, em uma frase
Subnetting é a técnica de dividir uma rede IP maior em blocos menores e logicamente isolados, chamados sub-redes, para otimizar o uso de endereços, melhorar o desempenho e reforçar a segurança. Em vez de tratar um intervalo inteiro como um único domínio de broadcast, o administrador empresta bits da porção de host do endereço para criar fronteiras internas. Essa divisão é definida pela máscara de sub-rede, que informa aos dispositivos quais bits identificam a rede e quais identificam o host.
O conceito nasceu da escassez de endereços IPv4 e da necessidade de reduzir tráfego desnecessário em redes locais. Um bloco /16, por exemplo, comporta 65.534 hosts — inviável para uma única rede física sem degradação severa. Com subnetting, esse mesmo bloco vira dezenas ou centenas de segmentos menores, cada um com domínio de broadcast próprio e política de acesso independente.
Por que dividir uma rede: problemas reais que o subnetting resolve
O primeiro problema que o subnetting ataca é o desperdício de endereços. Uma empresa que recebe um bloco /23 inteiro para usar apenas 80 hosts está queimando mais de 400 endereços públicos que poderiam atender outros clientes ou serviços. Ao dividir o bloco em sub-redes menores, cada segmento usa apenas a quantidade necessária, e o restante permanece disponível para expansão futura ou para outra localidade.
O segundo problema é o tamanho do domínio de broadcast. Em uma rede plana com centenas de máquinas, cada pacote ARP ou broadcast é replicado para todas as portas, consumindo CPU e banda de switches e endpoints. Sub-redes menores confinam esse ruído a grupos de 30, 60 ou 100 dispositivos, reduzindo latência e carga desnecessária. A segmentação via VLAN normalmente caminha junto: cada VLAN recebe uma sub-rede IP própria, casando isolamento lógico de camada 2 com fronteira de camada 3.
Há ainda o ganho de segurança e controle. Com sub-redes separadas para servidores, financeiro, visitantes e câmeras IP, o administrador pode aplicar regras de firewall entre segmentos — algo impossível de granularizar dentro de uma única rede plana. Um incidente em uma sub-rede de convidados, por exemplo, não alcança diretamente a sub-rede de banco de dados se houver filtragem entre elas.
- Reduz desperdício de endereços IPv4 públicos e privados
- Confina tráfego de broadcast e melhora latência
- Permite políticas de firewall entre departamentos
- Isola falhas e incidentes em segmentos específicos
- Facilita auditoria e conformidade por área
Anatomia de um endereço IPv4: rede, host e máscara
Um endereço IPv4 tem 32 bits, tradicionalmente escritos em quatro octetos decimais separados por ponto. Esses 32 bits são repartidos em duas porções: a parte de rede, que identifica o segmento, e a parte de host, que identifica um dispositivo específico dentro dele. A fronteira entre as duas porções não é fixa — ela é definida pela máscara de sub-rede.
ID de rede e ID de host
O ID de rede é o endereço que representa o segmento inteiro, obtido zerando todos os bits de host. O ID de host é a parte variável que diferencia cada interface dentro daquele segmento. Em 192.168.10.0/24, o ID de rede é 192.168.10.0 e os hosts válidos vão de 192.168.10.1 até 192.168.10.254 — o .255 fica reservado para broadcast.
Quando o administrador aumenta a máscara, ele está movendo a fronteira para a direita: bits que antes pertenciam ao host passam a fazer parte da rede. Emprestar 1 bit em um /24 gera dois /25, cada um com metade dos hosts originais. Esse é o mecanismo central do subnetting: trade-off entre quantidade de sub-redes e quantidade de hosts por sub-rede.
Máscara de sub-rede em decimal e em binário
Em binário, a máscara é uma sequência contínua de bits 1 seguida de bits 0. Os bits 1 marcam a porção de rede; os bits 0 marcam a porção de host. A máscara 255.255.255.0, em binário, é 11111111.11111111.11111111.00000000 — 24 uns e 8 zeros, por isso a notação /24.
Nem toda máscara cai exatamente na fronteira de um octeto. /26, por exemplo, corresponde a 255.255.255.192, porque no último octeto temos 11000000 — dois uns e seis zeros. O valor decimal do octeto vem da soma dos pesos dos bits ligados: 128 + 64 = 192. Entender essa conversão elimina a dependência de tabelas decoradas na hora de calcular sub-redes à mão.
Notação CIDR: como ler /24, /26 e /30 sem decorar tabela
CIDR (Classless Inter-Domain Routing) substitui a notação de máscara decimal por um número que indica quantos bits estão ligados. /24 significa 24 bits de rede e 8 bits de host; /26 significa 26 bits de rede e 6 bits de host. A quantidade de hosts utilizáveis em um prefixo é sempre 2 elevado ao número de bits de host, menos 2 — os endereços de rede e broadcast.
Para ler qualquer prefixo sem tabela, basta calcular a potência de 2 correspondente aos bits de host restantes. /30 deixa 2 bits de host: 2² = 4 endereços, dos quais 2 utilizáveis. /27 deixa 5 bits: 2⁵ = 32 endereços, 30 utilizáveis. /22 deixa 10 bits: 2¹⁰ = 1.024 endereços, 1.022 utilizáveis. O padrão vale para qualquer prefixo entre /0 e /32.
- /30: 2 bits de host, 4 endereços, 2 utilizáveis — links ponto a ponto
- /29: 3 bits de host, 8 endereços, 6 utilizáveis — pequenos grupos
- /26: 6 bits de host, 64 endereços, 62 utilizáveis — departamentos
- /24: 8 bits de host, 256 endereços, 254 utilizáveis — LAN típica
- /22: 10 bits de host, 1.024 endereços, 1.022 utilizáveis — campus
Como calcular sub-redes passo a passo (com exemplo real)
Considere um cenário hipotético: a empresa recebeu o bloco 10.0.0.0/24 e precisa separar três departamentos — Vendas, TI e Operações — com isolamento entre eles. O passo inicial é determinar quantos bits de host serão emprestados. Para três sub-redes, 2 bits emprestados geram 4 sub-redes (2² = 4), o que atende a demanda com folga para expansão.
Com 2 bits emprestados de um /24, o novo prefixo é /26. Cada sub-rede terá 6 bits de host, totalizando 64 endereços e 62 utilizáveis. O salto entre sub-redes é exatamente o tamanho do bloco: 64. Assim, as quatro sub-redes são 10.0.0.0/26, 10.0.0.64/26, 10.0.0.128/26 e 10.0.0.192/26. O cálculo é aritmético puro: soma-se o tamanho do bloco ao endereço de rede anterior.
Quantos hosts cabem em cada sub-rede
A fórmula é invariável: hosts utilizáveis = 2^(32 − prefixo) − 2. Em um /26, o expoente é 6, resultando em 64 endereços totais e 62 utilizáveis. Em um /27, o expoente cai para 5: 32 endereços e 30 utilizáveis. Em um /28, 4 bits de host: 16 endereços e 14 utilizáveis.
O desconto de 2 endereços nunca muda: o primeiro endereço do bloco é o ID de rede e o último é o broadcast. Uma sub-rede /25 tem 128 endereços totais, mas apenas 126 atribuíveis a dispositivos. Ignorar essa subtração é um dos erros mais frequentes em planejamento de capacidade.
Endereço de rede, broadcast e faixa utilizável
Tomando a segunda sub-rede do exemplo, 10.0.0.64/26, o endereço de rede é 10.0.0.64 e o broadcast é 10.0.0.127. A faixa utilizável começa em 10.0.0.65 e termina em 10.0.0.126. O broadcast de uma sub-rede é sempre o último endereço do bloco, ou seja, o endereço de rede da sub-rede seguinte menos 1.
Esse padrão se repete em qualquer prefixo. Em 192.168.1.0/28, os blocos saltam de 16 em 16: 192.168.1.0, .16, .32, .48 e assim por diante. O broadcast do primeiro bloco é 192.168.1.15, e a faixa utilizável vai de .1 a .14. Dominar essa sequência permite calcular qualquer sub-rede manualmente, sem depender de calculadora online.
Tabela de referência rápida de máscaras e CIDR (IPv4)
A tabela abaixo consolida os prefixos mais usados em redes corporativas. O campo "salto" indica o intervalo entre endereços de rede consecutivos no último octeto — essencial para enumerar sub-redes rapidamente. A coluna de hosts utilizáveis já desconta os endereços de rede e broadcast.
- /25 — 255.255.255.128 — salto 128 — 126 hosts
- /26 — 255.255.255.192 — salto 64 — 62 hosts
- /27 — 255.255.255.224 — salto 32 — 30 hosts
- /28 — 255.255.255.240 — salto 16 — 14 hosts
- /29 — 255.255.255.248 — salto 8 — 6 hosts
- /30 — 255.255.255.252 — salto 4 — 2 hosts
Prefixos maiores que /24 seguem a mesma lógica, mas o salto passa a ocorrer em octetos anteriores. Um /23, por exemplo, tem máscara 255.255.254.0 e salto de 2 no terceiro octeto, gerando 512 endereços por sub-rede. Um /20 tem máscara 255.255.240.0 e salto de 16 no terceiro octeto, com 4.094 hosts utilizáveis por bloco.
VLSM: dividindo uma rede em sub-redes de tamanhos diferentes
VLSM (Variable Length Subnet Mask) permite usar máscaras diferentes dentro do mesmo bloco original, ajustando cada sub-rede à demanda real de hosts. Em vez de fatiar um /24 em quatro /26 iguais, o administrador pode criar um /26 para um departamento de 50 pessoas, um /27 para outro de 25 e um /30 para um link ponto a ponto entre roteadores.
O requisito técnico é que os blocos não se sobreponham. A alocação começa sempre pelos segmentos maiores, porque blocos grandes precisam de fronteiras alinhadas a potências maiores. Um cenário hipotético de escritório: 10.0.0.0/24 dividido em 10.0.0.0/26 (62 hosts para TI), 10.0.0.64/27 (30 hosts para Vendas), 10.0.0.96/28 (14 hosts para RH) e 10.0.0.112/30 (2 hosts para o link com a filial).
O VLSM exige roteamento com suporte a protocolos classless, como OSPF e EIGRP. Protocolos antigos baseados em classes, como RIPv1, não propagam a máscara junto com a rota e quebram a topologia. Em ambientes modernos, o VLSM é padrão de mercado e aparece com destaque em trilhas de certificação como a certificação Cisco.
- Alocação começa pelos blocos maiores, depois os menores
- Blocos menores devem cair em fronteiras alinhadas ao próprio tamanho
- Cada sub-rede pode ter máscara distinta dentro do mesmo bloco
- Exige protocolo de roteamento classless na topologia
- Elimina desperdício em cenários com demandas desiguais
Subnetting em IPv6: o que muda
No IPv6, o conceito de sub-rede continua existindo, mas a mecânica é diferente. O endereço tem 128 bits, e a prática corrente reserva os primeiros 64 bits para a porção de rede e os últimos 64 para a interface. O prefixo típico atribuído a um site é /48, deixando 16 bits para sub-redes — o equivalente a 65.536 segmentos internos.
A escassez que motivou o subnetting agressivo no IPv4 praticamente desaparece. Cada sub-rede /64 comporta 2⁶⁴ endereços, um número tão grande que a preocupação com "quantos hosts cabem" deixa de fazer sentido. O foco do planejamento migra para organização hierárquica: separar /64 por VLAN, por andar ou por tipo de serviço, sem jamais precisar economizar bits de host.
O broadcast também desaparece no IPv6 — não existe endereço de broadcast; a comunicação de um-para-muitos usa multicast. Isso elimina o ruído de camada 2 que assombra redes IPv4 planas. Ainda assim, a segmentação por sub-rede permanece necessária para aplicar políticas de firewall e roteamento entre departamentos, exatamente como no IPv4.
Erros comuns ao planejar sub-redes (e como evitar)
O erro mais frequente é sobreposição de blocos. Quando o administrador calcula uma sub-rede sem alinhar o endereço de rede ao tamanho do bloco, dois segmentos passam a compartilhar faixas de IP. O sintoma em produção é intermitente: alguns hosts de um departamento respondem a requisições de outro, e o diagnóstico se arrasta por dias. A regra é simples — o endereço de rede precisa ser múltiplo do salto do bloco.
Outro erro clássico é esquecer os 2 endereços reservados. Planejar um /28 para 16 dispositivos resulta em falha, porque apenas 14 hosts são utilizáveis. Em ambientes com crescimento previsto, o ideal é reservar pelo menos 20% a 30% de folga na capacidade de cada sub-rede, evitando renumeração completa poucos meses depois.
Há ainda o erro de subestimar o roteamento entre sub-redes. Criar dezenas de segmentos sem configurar rotas ou sem um gateway adequado isola os departamentos por completo. Cada sub-rede precisa de um gateway (normalmente o primeiro ou último endereço utilizável) e de rotas que permitam o tráfego legítimo entre elas, respeitando as políticas de firewall definidas.
- Sobrepor blocos por não alinhar endereço de rede ao salto
- Esquecer de subtrair 2 endereços por sub-rede
- Não reservar folga para crescimento futuro
- Criar sub-redes sem gateway nem rotas entre elas
- Usar máscara inconsistente entre DHCP e roteador
Como validar seu cálculo na prática
Depois de planejar as sub-redes no papel, a validação em ambiente real evita que erros de cálculo cheguem à produção. Existem ferramentas nativas e de terceiros que conferem endereço de rede, broadcast e faixa utilizável em segundos. O hábito de validar cada bloco antes de aplicar a configuração reduz drasticamente incidentes de sobreposição e conflito de IP.
Comandos e ferramentas para conferir a divisão
No Linux, o comando ipcalc exibe todos os detalhes de um prefixo em uma única linha. Executar ipcalc 10.0.0.64/26 retorna endereço de rede, broadcast, faixa de hosts e máscara em decimal e binário. No Windows, a ferramenta equivalente é o PowerShell com o cmdlet Get-NetIPAddress ou scripts de cálculo manual. Em roteadores Cisco, o comando show ip route lista as sub-redes conhecidas e suas máscaras.
Calculadoras online como subnet-calculator.com e subnet.ninja cumprem o papel para conferências rápidas, mas não substituem o domínio do cálculo manual. Em provas de certificação e em ambientes sem internet, o profissional precisa derivar os valores sozinho. A preparação para certificação Cisco cobra exatamente essa habilidade em cenários de laboratório cronometrados.
Exercícios rápidos para fixar
Resolva os três exercícios abaixo antes de partir para configuração real. As respostas estão no parágrafo seguinte — tente não olhar antes de calcular.
- Dado 172.16.0.0/22, qual o endereço de rede, o broadcast e a faixa utilizável da terceira sub-rede /24?
- Quantos hosts utilizáveis existem em um /29? E em um /27?
- Um escritório precisa de 5 sub-redes com no máximo 10 hosts cada. Qual o menor prefixo que atende, partindo de 192.168.10.0/24?
Respostas: (1) a terceira sub-rede /24 de 172.16.0.0/22 é 172.16.2.0, com broadcast 172.16.2.255 e faixa .1 a .254; (2) /29 tem 6 utilizáveis, /27 tem 30; (3) o menor prefixo é /28, que gera 16 sub-redes de 14 hosts cada — os 10 necessários cabem com folga. Se você acertou os três, o raciocínio de subnetting está consolidado.
