Découper un réseau en sous-réseaux (subnetting)

Découper un réseau en sous-réseaux (le subnetting) consiste à allonger le masque en empruntant des bits à la partie hôte, pour obtenir plusieurs réseaux plus petits de même taille à partir d'un seul bloc d'adresses. Ce chapitre explique pourquoi on découpe, la méthode en cinq étapes, à partir d'un nombre de sous-réseaux ou d'un nombre d'hôtes, et comment retrouver directement le n-ième sous-réseau ou le sous-réseau d'une adresse.

Pourquoi découper un réseau

Chez Sorbier Logistique, tout le monde partage aujourd'hui le réseau 192.168.10.0/24 : les postes des salariés, les serveurs, les imprimantes, les caméras et le Wi-Fi des visiteurs. Ça fonctionne, mais :

• la sécurité est faible : un visiteur connecté au Wi-Fi est dans le même réseau que le serveur de fichiers et peut le joindre directement. Avec des réseaux séparés, tout passage de l'un à l'autre traverse un routeur ou un pare-feu, où l'on filtre ;
• chaque broadcast atteint tout le monde : 254 machines potentielles réveillées par chaque requête ARP ou DHCP ;
• une panne ou une attaque se propage : une boucle, une inondation de la table MAC, une machine infectée qui scanne le réseau touchent toutes les machines ;
• le réseau est illisible : en lisant une adresse, on ne sait pas s'il s'agit d'un poste, d'un serveur ou d'une caméra.

Découper, c'est créer un réseau par usage (ou par service, par étage, par site), associé à un VLAN. On dimensionne chacun selon le besoin et on contrôle les flux entre eux.

Le principe : emprunter des bits

On part d'un réseau, par exemple 192.168.10.0/24 (24 bits de réseau, 8 bits d'hôte). On emprunte des bits à la partie hôte pour les donner à la partie réseau. Avec 2 bits empruntés, le masque passe de /24 à /26 :

/24 : 11111111.11111111.11111111.00000000   255.255.255.0
/26 : 11111111.11111111.11111111.11000000   255.255.255.192
                                 ^^
                   2 bits empruntés : 2² = 4 sous-réseaux
                                   ^^^^^^
                   6 bits d'hôte restants : 2⁶ = 64 adresses, 62 hôtes

Les 2 bits empruntés prennent 4 valeurs (00, 01, 10, 11) : ce sont les numéros des 4 sous-réseaux. Plus on emprunte de bits, plus on a de sous-réseaux, et plus chacun est petit.

La méthode en cinq étapes

1. Lire le besoin : un nombre de sous-réseaux, un nombre d'hôtes par sous-réseau, ou les deux.
2. Calculer les bits : emprunter s bits tels que 2^s ≥ nombre de sous-réseaux, ou garder h bits tels que 2^h − 2 ≥ nombre d'hôtes.
3. Écrire le nouveau masque, en CIDR et en décimal.
4. Calculer la taille du bloc : 2^h adresses, soit 256 − l'octet significatif du nouveau masque.
5. Lister les sous-réseaux : adresse de réseau, première et dernière adresse, diffusion.

Vérifie toujours les deux contraintes à la fin : assez de sous-réseaux, et assez d'hôtes dans chacun.

Exemple 1 : découper selon un nombre de sous-réseaux

Énoncé. Découper 192.168.10.0/24 en 4 sous-réseaux de même taille.

1. Besoin : 4 sous-réseaux.
2. 2^s ≥ 4 → s = 2 bits empruntés.
3. Nouveau masque : /24 + 2 = /26, soit 255.255.255.192.
4. Bits d'hôte : 32 − 26 = 6. Taille du bloc : 2⁶ = 64 (ou 256 − 192). Hôtes : 64 − 2 = 62.
5. Les sous-réseaux commencent tous les 64 :

Vérification en binaire du sous-réseau 2 :

Réseau    : 192.168.10.01|000000 = 192.168.10.64
Diffusion : 192.168.10.01|111111 = 192.168.10.127
                         ^^ numéro du sous-réseau (01)

Exemple 2 : découper selon un nombre d'hôtes

Énoncé. L'opérateur attribue à une grande entreprise le bloc privé 10.0.0.0/8. Chaque site doit pouvoir accueillir 500 hôtes.

1. Besoin : 500 hôtes par sous-réseau.
2. 2^h − 2 ≥ 500 : 2⁸ − 2 = 254 ne suffit pas, 2⁹ − 2 = 510 suffit → h = 9.
3. Nouveau masque : 32 − 9 = /23, soit 255.255.254.0.
4. Taille du bloc : 2⁹ = 512 adresses. L'octet significatif est le 3e (254) : 256 − 254 = 2. Les sous-réseaux avancent de 2 en 2 dans le 3e octet.
5. Premiers sous-réseaux :

Nombre de sous-réseaux possibles : on est passé de /8 à /23, soit 15 bits empruntés : 2¹⁵ = 32 768 sous-réseaux.

Remarque que 10.0.0.255 ou 10.0.1.0 sont des adresses d'hôtes tout à fait valides dans 10.0.0.0/23 : seuls 10.0.0.0 (réseau) et 10.0.1.255 (diffusion) sont réservés. Une adresse qui se termine par 0 ou 255 n'est pas forcément une adresse de réseau ou de diffusion : tout dépend du masque.

Exemple 3 : l'octet significatif est le 3e

Énoncé. Découper 172.16.0.0/16 en 8 sous-réseaux.

• 2^s ≥ 8 → s = 3 → /19, soit 255.255.224.0.
• Bits d'hôte : 13. Hôtes par sous-réseau : 2¹³ − 2 = 8 190.
• Taille du bloc dans le 3e octet : 256 − 224 = 32.

Aller droit au but : le n-ième sous-réseau

Pas besoin de lister tous les sous-réseaux pour trouver le 5e : il commence à (n − 1) × taille du bloc, dans l'octet significatif. Dans l'exemple 3, le 5e sous-réseau commence à 4 × 32 = 128 : 172.16.128.0/19, diffusion 172.16.159.255.

Dans l'autre sens, pour savoir à quel sous-réseau appartient une adresse, divise l'octet significatif par la taille du bloc et garde la partie entière : 172.16.77.9 dans un découpage en /19 → 77 ÷ 32 = 2 (reste 13) → le sous-réseau commence à 2 × 32 = 64 : 172.16.64.0/19, c'est le 3e.

Quand les contraintes se contredisent

Énoncé. Dans 192.168.20.0/24, il faut 12 sous-réseaux de 20 hôtes.

• 12 sous-réseaux demandent s = 4 bits (2⁴ = 16) : masque /28, 14 hôtes par sous-réseau. Pas assez d'hôtes.
• 20 hôtes demandent h = 5 bits (30 hôtes) : masque /27, 2³ = 8 sous-réseaux. Pas assez de sous-réseaux.

Le /24 est trop petit : 12 sous-réseaux de 32 adresses demandent 12 × 32 = 384 adresses, plus que 256. Il faut un bloc plus grand, par exemple un /23 (512 adresses), découpé en 16 sous-réseaux /27. Savoir prouver qu'une demande est impossible fait partie de ce qu'on attend d'un technicien : c'est une réponse, pas un échec.

Exercices