小狐狸与小道士干过几年网络的工程师，多半都经历过这样的场景：新办公楼启用，领导甩来一句“三天之内把全楼IP规划好”；或者园区网络刚上线，设备还没跑热，先来一场广播风暴，折腾一宿最后发现是地址规划太随意，广播域没控住。这时候最值得庆幸的事，就是当年把IPv4地址分类和子网划分啃扎实了。这不仅是考试题，更是日常排障、网络设计、路由调试里天天要用的底层技能。这篇我从地址分类讲到VLSM实操，再补上这些年踩过的坑和排查方法，适合刚入门的朋友建立完整认知，也适合做了一两年运维的人回来补补课。
1. 为什么先要把地址分类和子网划分捆在一起学
1.1 地址分类是子网划分的前提
很多人学的时候觉得地址分类是“死记硬背”，A类多少、B类多少、C类多少，背完就忘。实际上，分类体系决定了网络位的默认长度，而子网划分就是在这些默认长度之上再切一刀。不理解分类，你很难理解为什么同一个IP在不同掩码下属于完全不同的网段。
IPv4地址一共32位，写成四段十进制数只是为了给人看的，底层是一串二进制。比如193.168.50.1，二进制长这样：
text复制11000001.10101000.00110010.00000001
每段8位，四段加起来32位。第二个八位组最大值255，是因为8位二进制全为1时等于255。地址分类的本质，就是看最前面几位二进制是多少，以此划分出A到E五类。
A类地址第一位固定为0，范围从0.0.0.0到127.255.255.255，默认掩码是255.0.0.0，也就是/8。B类地址前两位固定为10，范围128.0.0.0到191.255.255.255，默认掩码255.255.0.0，即/16。C类地址前三位固定为110，范围192.0.0.0到223.255.255.255，默认掩码255.255.255.0，即/24。D类前四位1110，范围224到239，留给组播。E类前四位1111，范围240到255，保留研究用。
这里有个很关键的点：A类虽然从0开头，但0.0.0.0有特殊含义，127.0.0.0/8是环回地址，真正能分配给设备的A类地址是从1.x开始到126.x。B类从128开始，但128.0.0.0到191.255.255.255之间的地址，只要掩码成/8也被称为私有段，这个我们后面细说。
1.2 分类和子网划分怎么耦合
默认掩码代表“这类地址天生预留多少位给网络号”。A类网络位只有8位，意味着世界上最多只有126个A类网段，但每个网段能容纳1600多万台主机，这是早期设计给超大型机构的。B类网络位16位，最多约1.6万个网段，每段6万5千多台主机。C类网络位24位，约200万个网段，但每段只有254台主机。
如果所有人都用默认掩码，会出现一个尴尬局面：一个B类地址段给一个小公司，地址浪费巨大；而C类又太小，一个200人的公司要申请好几个C类段，路由表爆炸。所以后来才有了CIDR和VLSM，把“默认分类”当作起点，再把网络位向左或向右延伸，按实际规模切割空间。
举一个生活化的类比：默认分类相当于政府把土地分成大户型和小户型，但每家住户人口不一样，有人三口之家住200平，有人十口人挤60平。子网划分就像允许你在户型内部加隔断，把大厅隔成两间小卧室，同时切掉部分公共区域。本质上，地址分类给你一个“地块”，子网划分决定你在这块地上怎么间房间。
下表方便你速查：
| 类别 | 首字节范围 | 固定高位 | 默认掩码 | 可用网络数 | 每网络可用主机数 |
|---|---|---|---|---|---|
| A | 1 - 126 | 0 | 255.0.0.0 | 126 | 16,777,214 |
| B | 128 - 191 | 10 | 255.255.0.0 | 16,384 | 65,534 |
| C | 192 - 223 | 110 | 255.255.255.0 | 2,097,152 | 254 |
| D | 224 - 239 | 1110 | 组播组地址 | - | - |
| E | 240 - 255 | 1111 | 实验保留 | - | - |
需要模型API调用？ 免费领10W Token，多模型网关一键接入 Claude、DeepSeek 等主流模型。
2. 公有地址、私有地址和特殊地址段：先分清场地再干活
2.1 三段私有地址的来龙去脉
IPv4地址总量约43亿，表面上很多，但放到全球设备里完全不够用。NAT技术出现后，内部网络不再需要全球唯一地址，只需在出口防火墙或路由器上做一次地址转换。为了让内部地址不会和公网地址冲突，标准里划出了三段专门给内部网络使用的私有地址。
第一段是10.0.0.0/8，从10.0.0.0到10.255.255.255，相当于一整个A类地址段，适合大规模园区网。第二段是172.16.0.0/12，范围172.16.0.0到172.31.255.255，注意这里不是172.0.0.0的整个B类段，而是从172.16开始的16个B类地址。第三段是192.168.0.0/16，从192.168.0.0到192.168.255.255，这是家用路由器和中小企业最常用的段，因为默认一个C类大小，正好覆盖一个典型局域网。
为什么172.16这一段总是被人搞混？因为它写成/12，12位网络位意味着网络部分只有前12位二进制固定，对应第二段十进制不固定。换算结果就是从172.16到172.31，共16个B类段。在实际规划中我见过有人把172.32开头的地址当作私有地址使用，结果数据包到了公网边界直接被丢弃，必须返工。
192.168段也容易有个认识偏差：192.168.0.0/16虽然被视作一块大饼，但家用路由器实际通常只分配其中一个/24的C类范围内地址。比如常见的192.168.1.0/24、192.168.0.0/24。你还得注意，192.168.1.0到192.168.1.255和192.168.2.0到192.168.2.255之间没有天然关系，如果两台设备分别是192.168.1.5和192.168.2.5，掩码都是/24，它们就是互不可达的两个网段，必须通过三层设备转发。
2.2 容易踩坑的特殊地址段
除了私有地址，还有几段地址在网络里经常出现，踩坑概率极高。
环回地址127.0.0.0/8，其中最常用的是127.0.0.1。你配置任何设备的回环口，流量不会真正从物理网卡出去，访问它相当于跟本机协议栈对话。有人测试把127.0.0.2配置到业务上，虽然协议上允许，但绝大多数软件默认只监听127.0.0.1，这也容易引发误判。
链路本地地址169.254.0.0/16是另一个大坑。当一台主机的DHCP客户端找不到服务器时，很多操作系统会自动分配一个169.254.x.x的地址。如果你见到设备IP是169.254开头，第一反应不是查IP冲突，而是查它为什么没拿到DHCP地址——交换机端口没放通、上联口错误、DHCP服务器宕机，大概率问题出在获取流程上。
还有0.0.0.0和255.255.255.255。0.0.0.0在网络配置里通常表示默认路由或“本机不知道源地址时使用”，255.255.255.255是全网广播地址。这类地址出现在业务流量里，多半是配置错误或扫描行为，排查时不能忽视。
最后说一下组播段。D类地址224.0.0.0到239.255.255.255，里面有些关键保留地址，比如224.0.0.1表示本网段所有主机，224.0.0.2表示本网段所有路由器，224.0.0.5和224.0.0.6是OSPF使用的组播地址。你在交换机上做组播配置时，区分这个地址具体属于哪种用途非常关键，选错组地址会导致协议报文无法到达预期设备。
提示：看到以169.254开头的地址，优先排查DHCP获取链路，而不是急着配静态IP掩盖问题。
3. 子网掩码与CIDR：看懂前缀就看清了网络边界
3.1 掩码的二进制本质
有些人记子网掩码靠死背：255.255.255.0是/24，255.255.255.128是/25，255.255.255.192是/26。背多了就会混，尤其遇到255.255.255.224这类不规则的格式。我自己也用过一个土办法，只要把掩码当成一长串连续的二进制1来算，任何掩码都能瞬间拆开。
子网掩码的规则是：从第1位开始，网络位必须是连续的1，直到网络位结束，后面主机位必须全是0。合法的掩码只能是下面这种形态：
text复制11111111.11111111.11111111.10000000
这个就是255.255.255.128，换成前缀写法是/25，因为32位里有25个1。非法掩码，比如255.255.0.255，二进制是：
text复制11111111.11111111.00000000.11111111
中间出现了“1，然后跳到0，又回到1”，这是不允许的。在设备上配置这种掩码，轻则提示非法，重则出现路由黑洞。所以判断一个掩码是否合法，不要只看十进制，转成二进制看是否连续才是正道。
掩码长度和主机位的关系也在这里天然呈现。网络位越长的掩码，主机位越短，地址空间越小。但网络位长度不可无限增加，最少保留2位主机位才有可用地址，对应/30掩码，这也是点到点链路专用/30的原因。当我们需要大网络时，网络位可以比默认短，比如把一个/16拆出来用，这对CIDR来说完全正常。
3.2 可用主机数怎么算
子网里有两个地址不能分配给主机：一个是网络地址，主机位全为0，代表这个子网本身；一个是广播地址，主机位全为1，用于向该子网所有主机发数据。其他地址都可以给设备用。
可用主机数公式是2的(32-前缀长度)次方减2。举几个常用例子：/24有254个可用地址，/25有126个，/26有62个，/27有30个，/28有14个，/29有6个，/30就只有2个。很多人记不清“减2”到底是减哪两个，其实就是减去网络地址和广播地址。
这里分享一个我用了很多年的快速心算法：先把掩码的第四段二进制值取出来，比如/26相当于第四段是11000000，数值196? 不对，是192。用256减去192得到64，这个64就是子网大小（块大小）。有了块大小，就能顺次列出子网边界：0、64、128、192。每个子网里网络地址是边界本身，广播地址是下个边界减1，其余是可用地址。这个方法在处理连续子网规划时特别快，不用每次写二进制。
CIDR前缀还有另一层用途：路由聚合。比如公司有16个连续的/24子网，从192.168.0.0/24到192.168.15.0/24，如果维护16条明细路由，对设备性能是个压力。只要这16段是连续的且前缀位一致，就能写成192.168.0.0/20往外广播。汇总路由能让核心路由表精简立竿见影，但前提是地址规划一开始就有逻辑性，否则杂乱的理想不存在的。
4. VLSM实操：从一个网段切出多个刚刚好的子网
4.1 为什么要放弃固定长度子网
如果所有部门都用同一个掩码，比如全部/24，规划会很简单，但浪费会很严重。一个部门只有10台终端，硬给一个/24的254个地址，等于把244个地址闲置。在IPv4地址紧张的今天是完全不可接受的，于是有了VLSM，可变长子网掩码。
VLSM的核心是“内部分层切割”。你从一个较大的网段开始，先为需求最大的子网分配地址，然后从剩余的连续块继续切割更小的子网，每一步都可以用不同的前缀长度，只要各子网范围不重叠就行。这有点像切蛋糕，最大的那块先切下来，剩下的再按需切，切完下刀位置就对上了。
固定长度子网和VLSM的本质区别，一句话概括：前者所有子网大小一样，方便但浪费；后者按需取用，节省地址空间，但规划时更需要谨慎。我建议所有生产网络一律使用VLSM，哪怕地址富裕，也要养成按需分配的习惯，因为“富裕”是暂时状态，网络膨胀是常态。
4.2 某中型企业网络规划实战
用一个实际操作中的案例来说明。某中型企业有以下几个需求：
- 研发部，120台终端
- 市场部，60台终端
- 财务部，30台终端
- 临时访客区，约10台终端
- 服务器区，约10个设备，但考虑到冗余，要预留14个地址
假设只给我们一个192.168.50.0/24的网段来满足全部需求。规划顺序是：先满足需求量最大的子网，再依次切剩下的。
第一步，研发部120台终端。可用地址至少需要120个。下一个满足需求的子网是/25，可用126个地址。192.168.50.0/25的网络地址是192.168.50.0，广播地址是192.168.50.127，可用地址192.168.50.1到192.168.50.126。
第二步，市场部60台终端。选择/26，可用62个地址。从192.168.50.128开始，网络地址192.168.50.128，广播地址192.168.50.191，可用地址192.168.50.129到192.168.50.190。
第三步，财务部30台终端。选择/27，可用30个地址。从192.168.50.192开始，网络地址192.168.50.192，广播地址192.168.50.223，可用地址192.168.50.193到192.168.50.222。
第四步，服务器区10个设备加冗余要14个可用地址，选择/28，可用14个。从192.168.50.224开始，网络地址192.168.50.224，广播地址192.168.50.239，可用地址192.168.50.225到192.168.50.238。
第五步，访客区10台终端，还是/28。剩余就从192.168.50.240开始，网络地址192.168.50.240，广播地址192.168.50.255，可用地址192.168.50.241到192.168.50.254。
这样192.168.50.0/24刚好切完，没有任何重叠和浪费。完整的分配表是这样的：
| 区域 | 网段 | 掩码 | 可用地址范围 | 广播地址 |
|---|---|---|---|---|
| 研发部 | 192.168.50.0/25 | 255.255.255.128 | 192.168.50.1 - .126 | 192.168.50.127 |
| 市场部 | 192.168.50.128/26 | 255.255.255.192 | 192.168.50.129 - .190 | 192.168.50.191 |
| 财务部 | 192.168.50.192/27 | 255.255.255.224 | 192.168.50.193 - .222 | 192.168.50.223 |
| 服务器区 | 192.168.50.224/28 | 255.255.255.240 | 192.168.50.225 - .238 | 192.168.50.239 |
| 访客区 | 192.168.50.240/28 | 255.255.255.240 | 192.168.50.241 - .254 | 192.168.50.255 |
实际执行时，你要在每台三层交换机上为每个VLAN配置一个网关地址，通常取该子网的第一个或第二个可用地址。比如研发部VLAN网关设192.168.50.1，财务部VLAN网关设192.168.50.193。网关地址属于子网内部地址，和终端在同一个二层域内，所以终端配置默认网关时填这个地址就能跨子网通信了。
这里有一个值得注意的细节：分配时保留地址和广播地址别算错。最常见的错误是研发部/25段的广播地址192.168.50.127被当成可用地址分配给了打印机。一旦打印机IP设成广播地址，它发出的任何包都会被交换机当广播处理，整个子网广播流量异常，网络会时断时续。
4.3 路由汇总的一个进阶技巧
VLSM切完以后，如果各子网的网络地址按顺序排列，多数情况下是可以做汇总的。例如刚才的规划，192.168.50.0/25、128/26、192/27、224/28、240/28这五段都属于192.168.50.0/24这个大段，外部路由只需要通告一条192.168.50.0/24即可，内部路由器再到各自子网的明细路由。
什么时候不能汇总？如果子网地址不连续，汇总出来的前缀会包含不属于你的子网，可能导致路由错误指向。比如你有192.168.1.0/24和192.168.3.0/24，中间隔了192.168.2.0/24，硬汇总成192.168.1.0/22，就会把不属于你的2.0/24网段也纳进来。这种时候要么保持明细路由，要么重新规划让地址连续。
提示：VLSM规划完成后，一定要用一张表把所有子网的网络地址、广播地址、可用范围、网关、VLAN编号记录下来。这个表就是网络运维的地契。
5. 常见错误与现场排查技巧
5.1 高频翻车现场
子网划分中翻车的地方，其实来来去去就那几个。第一个是可用主机数算错。公式没记牢，把网络地址和广播地址加进去当可用地址用。比如有人以为/29有8个地址，结果分配给设备7个，最后实际只能上网6台，剩下一个收尾才发现不能用。
第二个是子网掩码配置不一致。两台设备IP看着在同一网段，比如192.168.1.10和192.168.1.11，掩码却分别配了255.255.255.0和255.255.255.128。前者认为自己在/24，后者认为自己属于/25，然后彼此判断网络地址不同，数据包发给网关，结果通信异常。排查这类问题最快的办法是逐台检查掩码，而不是看IP结尾就觉得理所当然。
第三个是网关和终端不在同一子网。网关地址要属于终端所在子网，且网关的三层接口配置了正确掩码。很多新手配置交换机VLAN接口时，地址写对了，掩码写成255.255.255.0，但终端实际在/26子网，那网关根本不可达。你ping网关不通，问题可能在交换机那个VLAN接口的掩码，而不在终端。
第四个是广播地址问题，前面那个打印机案例已经印证。还有人在部署时把255.255.255.255当普通地址配进终端，直接全网广播风暴，吓得直接拔网线。排查经验是，如果某台设备一接入网络，网络中其他设备突然延迟拉满，优先查它是不是用了广播地址，或者是不是掩码把广播范围扩得太大。
第五个常犯的是地址冲突。两个设备在同一个广播域里配了同一个IP，ARP表会跳来跳去，ping时通时不通。这个典型现象就是“一会儿通，一会儿不通”。用arp命令列出表项，看同一IP对应了两个MAC地址，基本就是冲突了。
5.2 排查工具箱：命令与心法
不同系统下排查工具略有差异，但思路一致。Windows上用ipconfig查看IP、掩码、网关，用ping测试连通性，用tracert追踪路径。Linux/macOS用ifconfig或者ip addr，用traceroute。路由器交换机上，Cisco设备用show ip interface，华为设备用display ip interface brief。你可以这样操作：先确认本机IP和掩码，再确认网关能否ping通，接着确认网关下一条路由是否可达，一层层缩小范围。
我遇到地址规划类故障时，习惯按这个顺序查：
- 查看本机IP、掩码、网关是否合理，算出网络地址和广播地址。
- ping网关地址，通说明二层正常，不通检查VLAN和物理链路。
- ping跨网段地址，通说明三层路由正常，不通查路由表和防火墙策略。
- 看ARP表，确认没有IP冲突。
- 抓包看有没有大量广播帧。
如果网络里有VLAN，交换机端口Access和Trunk的PVID不匹配也会造成地址不可达。比如终端属于VLAN 10，但交换机端口PVID配成20，DHCP请求永远无法到服务器。这时候在终端上ipconfig看到的可能是169.254开头的地址，处理思路就是查交换机端口配置。
6. 网络规划中的几个实践心法
6.1 地址规划要留余量
多数网络在建设初期的设备数量远小于最终规模。我在规划时一直坚持“按最终规模的1.5倍预留”，而不是按当前需求精确切分。比如研发部现在120台，未来一年可能扩展到180台，直接给/24，不要给/25。因为R&D部门招人速度你永远想不到。虽然VLSM强调节省，但节省的前提是不影响未来扩展。
另外，给每个子网的地址利用率留个安全水位，比如实际使用达到70%就开始预警。别等地址耗尽再临时扩掩码，那会涉及网段重编，必然引起全部门设备改IP，运维工作量巨大。
规划时也不要忘了给设备间链路留地址。一般两台路由器之间的点到点链路用/30网段，一个子网地址和一个广播地址加两个可用地址正好够用。很多人在规划时忘了这部分专项地址，结果后期要在业务网段里挤地址，乱成一锅粥。
6.2 文档化是命根子
一个网络运行三五年后，最值钱的资产不是设备，而是IP规划文档。我在项目里强制要求每次调整IP都更新文档，包含网段、用途、VLAN号、网关、所属部门、联系人。文档做好，排障效率可以提高一倍以上。
文档里还要记录每台设备的接口地址。比如交换机上一个VLAN接口配了192.168.50.129/26，如果只有一个人知道，他离职后这个地址就成了谜。给文档做一个简易的表格，内容包括：设备名、接口名、IP地址、掩码、所属网段、用途、变更日期、操作人。
做地址规划时，我还习惯把整个网段想象成一栋楼：1楼大厅是核心交换机，2楼研发部，3楼市场部，4楼财务部，楼梯间是各VLAN的网关。每个楼层大小根据人数定，各楼层门牌号就是IP地址。这种具象化思考帮我在开局设计时快速概览全局，也便于向非技术同事解释网络结构。
6.3 静态与动态地址的选择
规划子网后，服务器、打印机、网络设备建议用静态地址或DHCP静态绑定。终端用户最好用DHCP动态分配。这样可以集中管理，避免一台一台手动配置。DHCP也便于后续变更子网，只要修改服务器作用域，终端重启后自动获取新地址，省去大量人力。
要警惕的是，不可信的设备接入你的网络，可能私设静态IP。对策是交换机端口开启DHCP Snooping，只信任特定端口，其他端口收到的DHCP应答直接丢弃，从源头上控制私接行为。这属于进阶防护了，但在网络规模稍大时非常值得部署。
如果用了DHCP，地址池要和规划的可用地址段严格一致，不要随便把网络地址或广播地址填进地址池，否则会出现被分配出去却被全网误判为广播或网络地址的奇葩现象。
最后分享几个个人体会
这些年下来，我最深的感受是，IPv4地址分类和子网划分不是考试题，而是排障时脑子里自动浮现的坐标轴。到了现场，看到IP和掩码，第一时间就知道它在哪个网段、广播地址是多少、能不能互通。前阵子帮一个朋友排查网络，三台服务器互相ping不通，IP分别是192.168.1.3、192.168.1.5、192.168.1.9，掩码都是255.255.255.0，看着明明同一网段，最后发现网关有一台配成了192.168.2.1。这种错误说出来都不好意思，但真到现场就会蒙圈。
还有一个小技巧分享给你：用不了几分钟时间，拿纸笔把几组常见掩码的二进制写一遍，再算一遍可用主机数，比盯着屏幕看教程强十倍。VLSM案例也建议自己推一遍，从/24切到/25、/26、/27，再动手把设备配置出来。推通了，后面很多网络问题都会变得透明。IPv4地址空间虽然紧张，但掌握好这套底层逻辑，你的网络设计思路会稳得多。