Co to maska podsieci? Dlaczego jest tak ważna?

Każde urządzenie w sieci musi wiedzieć, gdzie powinny trafiać informacje. Bez jasno określonych zasad dane przemieszczałyby się na ślepo, powodując zamieszanie i spowolnienia. Maski podsieci są jednym z narzędzi umożliwiających sprawne działanie sieci, ułatwiając organizację połączeń i sprawiając, że ruch trafia tam, gdzie trzeba.

Czym jest maska podsieci?

Maska podsieci to liczba określająca, która część adresu IP odnosi się do sieci, a która do urządzenia (hosta).

Maska podsieci, dopasowana do adresu IP bit po bicie, pozwala urządzeniom określić, które adresy są „lokalne” (tj. znajdują się w tej samej podsieci), a do których trzeba dotrzeć za pośrednictwem routera.

W protokole IPv4 maska podsieci jest wartością 32-bitową, zwykle prezentowaną w postaci liczb w zapisie dziesiętnym oddzielonych kropkami. Choć IPv6 wykorzystuje 128 bitów, IPv4 pozostaje obecnie najczęściej używanym formatem i ta forma maski podsieci jest generalnie łatwiejsza do opanowania, dlatego niniejszy poradnik skupia się przede wszystkim na IPv4.

Więcej informacji znajdziesz w artykule IPv4 a IPv6.

Podstawowa struktura maski podsieci

Maska podsieci IPv4 to 32-bitowa liczba składająca się z nieprzerwanego ciągu jedynek (1) i zer (0), przy czym jedynki oznaczają bity sieci, a zera – bity hosta.

Przykładowo, maska 255.255.255.0 to w zapisie binarnym 11111111.11111111.11111111.00000000. To 24 jedynki, po których następuje 8 zer, więc pierwsze 24 bity identyfikują sieć, a ostatnie 8 bitów identyfikuje hosty.

Aby maska podsieci była poprawna, wszystkie znajdujące się w niej cyfry 1 muszą występować obok siebie na początku, a cyfry 0 muszą występować na końcu – tzn. jedynki i zera nie mogą występować na zmianę. Taki schemat wyznacza wyraźną granicę między częścią adresu IP odpowiadającą sieci, a tą odpowiadającą hostowi.

Spójny format umożliwia zapisywanie masek podsieci zarówno w formie binarnej, jak i kropkowo-dziesiętnej, co pozwala szybko rozróżniać adresy sieciowe od adresów hostów.

Zapis dziesiętny z kropkami a zapis binarny

Maski podsieci mogą być zapisywane w dwóch formach: binarnej i dziesiętnej z kropkami. Komputery przetwarzają je w systemie binarnym, ale ta forma jest, po pierwsze, za długa, a po drugie – trudna do zapamiętania i odczytania przez człowieka. Dla wygody użytkownika te same 32 bity z zapisu binarnego zostały pogrupowane w cztery bloki po osiem i przedstawione w postaci liczb w zapisie dziesiętnym oddzielonych kropkami.

Każdy bit w oktecie ma odpowiednią wagę: 128, 64, 32, 16, 8, 4, 2 i 1. Aby przekonwertować liczbę w zapisie binarnym na zapis dziesiętny z kropkami, należy dodać wartości pozycji oznaczonych cyfrą 1. Przykładowo, ciąg binarny 11111111.11111111.11111111.00000000 staje się 255.255.255.0 w zapisie dziesiętnym z kropkami. Oba formaty oznaczają to samo – zapis dziesiętny oddzielony kropkami jest po prostu wygodniejszy dla człowieka.

Podsieci a maski podsieci

Maska podsieci i podsieć są ze sobą powiązane, ale to nie to samo. Maska podsieci to wartość liczbowa, która informuje urządzenie, jak podzielić adres IP na część odpowiadającą sieci oraz część odpowiadającą hostowi. To instrukcja wytyczająca sposób podziału.

Z kolei podsieć to mniejsza, logiczna część większej sieci, zdefiniowana przez zastosowanie maski podsieci do adresu IP. Przykładowo, przy adresie IP 192.168.123.132 i masce podsieci 255.255.255.0, pierwsze 24 bity (192.168.123) definiują część sieciową, a ostatnie 8 bitów (.132) identyfikuje hosta w tej podsieci. Oznacza to, że adres należy do podsieci 192.168.123.0, a .132 to unikalny host.

Mówiąc prościej, maska podsieci definiuje granice, a podsieć to sieć, która funkcjonuje w ich obrębie.

Do czego służy maska podsieci?

Zadaniem maski podsieci jest informowanie urządzeń, która część adresu IP należy do sieci, a która identyfikuje konkretne urządzenie (hosta). W ten sposób pomaga urządzeniom zdecydować, czy komunikacja może odbywać się lokalnie (w tej samej podsieci), czy też trzeba ją przekierowywać przez bramę.

Dzięki maskom sieci mogą dzielić się na mniejsze segmenty lub podsieci, co przekłada się na wydajniejszy routing, mniejszy ruch i łatwiejsze zarządzanie. Maski podsieci ograniczają zbędny ruch rozgłoszeniowy (broadcast), pozwalają odizolować segmenty w celu zapewnienia odpowiedniej ochrony, a także doprecyzowują ścieżkę, którą dane muszą przebyć, aby dotrzeć do miejsca docelowego.

W jaki sposób wykorzystywanie podsieci podnosi wydajność sieci

Podział sieci przyspiesza je i ułatwia zarządzanie nimi poprzez ograniczenie niepotrzebnego ruchu. Gdy duża sieć jest podzielona na mniejsze segmenty, urządzenia w każdej podsieci komunikują się bezpośrednio ze sobą, utrzymując lokalny ruch w ograniczonym zakresie – nie przesyłają go przez całą sieć.

Podsieci pozwalają również na sumaryzację tras (route summarization) – dzięki temu routery mogą rozgłaszać jedną trasę sumaryczną zamiast wielu pojedynczych. To z kolei zmniejsza liczbę wpisów, które muszą być przechowywane i weryfikowane przez poszczególne routery, co sprawia, że tablice trasowania są mniejsze i można je przetwarzać szybciej. W rezultacie wyszukiwanie zajmuje mniej czasu, a cała sieć staje się bardziej skalowalna. Połączenie mniejszych domen rozgłoszeniowych i uproszczonego routingu przekłada się na większą wydajność całej sieci.

Zalety segmentacji sieci

Podzielenie sieci na mniejsze segmenty nie służy wyłącznie jej uporządkowaniu, ale ma bezpośredni wpływ na szybkość, łatwość zarządzania i zgodność z wymogami. Podsieci utrzymują ruch lokalny tam, gdzie jego miejsce, minimalizują niepotrzebne zatory i zapewniają administratorom lepszą kontrolę nad przepływem informacji.

Oto lista najważniejszych korzyści:

• Mniejsze obciążenie i lepsza wydajność: Ruch lokalny utrzymuje się w obrębie własnej podsieci, dzięki czemu niepotrzebne transmisje nie spowalniają całej sieci.
• Większe bezpieczeństwo i lepsza separacja: Każda podsieć ogranicza dostęp do zasobów i pomaga ograniczyć zasięg potencjalnych zagrożeń, utrzymując je w swoim obrębie. Takie podejście jest zgodne ze strategią zero trust, która zakłada, że nie wolno ślepo ufać żadnemu połączeniu i zawsze trzeba przeprowadzać weryfikację.
• Lepsza widoczność i kontrola dostępu: Administratorzy mogą stosować określone reguły do każdej podsieci i są w stanie precyzyjniej monitorować aktywność niż w przypadku jednej dużej sieci.
• Łatwiejsze dostosowanie się do wymogów regulacyjnych i przepisów: Wrażliwe systemy mogą być obsługiwane w wydzielonych segmentach, co sprawia, że mniejsza liczba urządzeń musi spełniać rygorystyczne wymagania.

Ograniczanie ryzyka poprzez zastosowanie podsieci

Podział sieci na mniejsze, ograniczone obszary wprowadza dodatkową warstwę ochrony. Jeśli ktoś włamie się do jednej z podsieci, ewentualne szkody nie rozprzestrzenią się z automatu na cały system. Takie rozwiązanie ułatwia powstrzymywanie ataków i ogranicza ich wpływ.

Co więcej, ewentualne ataki mają mniejszy zasięg. Ponieważ ruch musi przechodzić przez wyraźnie określone granice, podsieci utrudniają zagrożeniom przechodzenie do pozostałych części sieci. Kreuje to liczniejsze bariery utrudniające życie hakerom i oddaje w ręce zespołów ds. bezpieczeństwa większą kontrolę nad sposobem, w jaki dane przemieszczają się między segmentami.

Typowe błędy, których należy unikać

Podział sieci może przekładać się na ich szybsze działanie i lepszą ochronę, ale tylko, jeśli wszystko zostanie ustawione prawidłowo. Niewielkie błędy podczas konfiguracji mogą prowadzić do poważnych problemów z łącznością lub wydajnością. Oto lista najczęstszych błędów, których należy unikać:

• Używanie niewłaściwej maski podsieci: Jeśli urządzenia zostaną skonfigurowane z wykorzystaniem maski, która nie pasuje do sieci, mogą wystąpić zakłócenia w komunikacji.
• Niedopasowane lub domyślne maski podsieci: Używanie maski podsieci, która nie pasuje do rzeczywistej konfiguracji, może prowadzić do błędów komunikacji lub problemów z przekierowywaniem.
• Dzielenie sieci na zbyt duże fragmenty: Więcej hostów na podsieć oznacza większy ruch rozgłoszeniowy, co prowadzi do obniżenia wydajności.
• Wzajemnie nakładające się podsieci: Jeśli dwie podsieci używają nakładających się zakresów adresów, urządzenia mogą nie łączyć się zgodnie z oczekiwaniami – wiele platform blokuje łączność w takim przypadku.
• Nieuwzględnienie rezerwacji adresów: Nie można przypisywać do hostów ani pierwszego, ani ostatniego adresu podsieci. Pierwszy służy za identyfikator sieci, a ostatni – do rozgłaszania. Niewłaściwe użycie może spowodować utratę łączności.
• Słabe planowanie i niedostateczna dokumentacja: Bez sensownego rozplanowania podsieci skalowanie lub rozwiązywanie problemów staje się znacznie trudniejsze, co zwiększa ryzyko popełnienia błędów podczas konfiguracji.

Podsieć a VPN: na czym polega różnica?

Podsieci i wirtualne sieci prywatne (VPN) wpływają na sposób działania ruchu sieciowego, ale mają inne zastosowania. Podsieci działają w obrębie sieci: dzielą ją na mniejsze fragmenty, ograniczają ruch lokalny i pozwalają zapewnić odpowiednią wydajność i ochronę połączenia.

Z kolei VPN chronią ruch przemieszczający się między sieciami. Szyfrują dane i kierują je przez bezpieczny tunel, chroniąc je przed przechwyceniem lub manipulacją w drodze do miejsca docelowego.

Oba te rozwiązania zapewniają razem wielowarstwową ochronę: podsieć usprawnia działanie od wewnątrz, a VPN zabezpiecza połączenia wychodzące. Jeśli połączymy to wszystko z dobrymi praktykami w zakresie bezpieczeństwa sieci, właściwie zadbamy zarówno o wewnętrzny, jak i zewnętrzny ruch w infrastrukturze organizacji.

Jak sprawdzić, jaką mam maskę podsieci?

Chociaż obsługa masek podsieci często odbywa się automatycznie, wiedza o tym, gdzie można znaleźć informacje na ich temat, może ułatwić rozwiązywanie podstawowych problemów z siecią, np. diagnozowanie przyczyny spowolnień i rozwiązywanie konfliktów adresów IP, a także pozwolić na ręczne skonfigurowanie sieci domowej.

Aby sprawdzić maskę podsieci, wystarczy otworzyć ustawienia sieciowe urządzenia lub użyć prostej komendy.

Instrukcja dla systemu Windows

1. Otwórz Command Prompt (Wiersz polecenia) – wciśnij przycisk z logo Windows, wpisz nazwę programu i kliknij go, gdy się wyświetli.
   
2. Wpisz ipconfig /all i naciśnij Enter.
   
3. Wyszukaj wiersz Subnet Mask (maska podsieci) w informacjach na temat karty sieciowej. Tam właśnie znajdziesz stosowną wartość liczbową.
   

Aby ręcznie zmienić maskę podsieci, wystarczy otworzyć Network and Sharing Center ( Centrum sieci i udostępniania). Wybierz Change adapter settings (Zmień ustawienia karty sieciowej), kliknij połączenie prawym przyciskiem myszy i wybierz Properties (Właściwości). Teraz otwórz Internet Protocol Version 4 (TCP/IPv4) (Protokół internetowy w wersji 4 (TCP/IPv4)) i wprowadź właściwą maskę podsieci ręcznie.

Instrukcje dla systemu macOS

1. Otwórz System settings (Ustawienia systemu) w menu Apple.
   
2. W pasku bocznym wybierz Network (Sieć), a następnie otwórz Wi-Fi.
   
3. Kliknij Details (Szczegóły).
   
4. Teraz otwórz kartę TCP/IP – maskę podsieci znajdziesz pod adresem IP.
   

Aby wprowadzić zmiany, otwórz menu rozwijane Configure IPv4 (Konfiguruj IPv4) w tym samym miejscu, wybierz opcję Manually (Ręcznie) i wprowadź prawidłową maskę podsieci.

Instrukcje dla systemu iOS

1. Open Settings (Ustawienia) na iPhonie lub iPadzie i stuknij Wi-Fi.
   
2. Wybierz aktualnie używaną sieć.
   
3. Przewiń ekran w dół, by wyświetlić maskę podsieci – będzie widoczna pod adresem IP.
   

Aby ją zmienić, stuknij Configure IP (Konfiguruj IP) > Manual (Ręcznie), a następnie wprowadź maskę podsieci.

Instrukcja dla systemu Android

1. Otwórz Settings (Ustawienia) i przejdź do Network & Internet (Sieć i Internet). Teraz stuknij opcję Internet.
   
2. Wybierz sieć, z którą się łączysz, i dotknij ikony koła zębatego (lub opcji Advanced (Zaawansowane) w starszych wersjach systemu Android), aby wyświetlić szczegóły połączenia.
   
3. Maska podsieci wyświetli się przy adresie IP.
   

Aby ją zmienić, dotknij ikony ołówka, otwórz IP settings (Ustawienia IP), przełącz ustawienia z DHCP na Static (Statyczne) i ręcznie wprowadź prawidłową maskę podsieci lub długość prefiksu.

Typowe maski podsieci i ich przeznaczenie

Różne maski podsieci mają odmienne zastosowania. Niektóre z nich są przeznaczone do małych sieci lokalnych, a inne – do większych konfiguracji obejmujących tysiące urządzeń.

Obecnie maski podsieci często zapisuje się przy użyciu Classless Inter-Domain Routing (CIDR) – metody, która pokazuje, ile bitów adresu IP jest używanych w sieci. Przykładowo, /24 oznacza, że pierwsze 24 bity są przeznaczone dla sieci, co odpowiada zapisowi 255.255.255.0.

CIDR i tradycyjne maski podsieci opisują to samo; CIDR jest po prostu bardziej nowoczesną i kompaktową formą zapisu.

Wyjaśnienie maski podsieci /24 (255.255.255.0)

Maska podsieci /24, zapisywana jako 255.255.255.0, tworzy łącznie 256 adresów, z których 254 można przypisać do urządzeń po zarezerwowaniu adresów sieciowych i rozgłoszeniowych. Jest to jedna z najczęściej używanych masek w sieciach lokalnych, ponieważ zapewnia wystarczającą ilość miejsca dla dziesiątek, a nawet setek urządzeń.

Inne często używane maski podsieci

Maski podsieci nie ograniczają się do /24. Maska /16 (255.255.0.0) obejmuje ponad 65 tysięcy adresów w jednej podsieci – to dobre rozwiązanie, gdy trzeba obsłużyć ogromne ilości sprzętów.

Z drugiej strony mamy maskę /30 (255.255.255.252) obejmującą jedynie 4 adresy, z czego 2 do użytku przez urządzenia. Takie rozwiązanie było powszechnie stosowane w połączeniach punkt-punkt (point-to-point), w których komunikują się ze sobą jedynie dwa urządzenia (np. routery). Później wprowadzono podsieć /31 (255.255.255.254), aby zoptymalizować wykorzystanie adresów w połączeniach punkt-punkt. Pozwoliło to na użycie obu adresów IP i wyeliminowało potrzebę stosowania oddzielnych adresów sieciowych i rozgłoszeniowych w tym konkretnym przypadku.

Kolejne podsieci o mniejszych rozmiarach, np. /25 lub /26, dzielą sieć /24 na jeszcze drobniejsze segmenty. Ograniczają one liczbę dostępnych adresów hostów, ale jednocześnie zapewniają większą kontrolę i zmniejszają ruch lokalny.

Dawniej domyślną maską dla sieci klasy A była /8 (255.0.0.0), co dawało ponad 16 milionów adresów w pojedynczym bloku. Tak duże alokacje były powszechnym zjawiskiem we wczesnym okresie rozwoju Internetu, ale nie było to zbyt wydajne rozwiązanie. Nowoczesne sieci używają CIDR do efektywniejszego przydzielania zakresów IP; zapewnia to większą elastyczność przy podziale sieci, ogranicza marnowanie przestrzeni adresowej i upraszcza routing. Jest to teraz standardowy sposób określania masek podsieci zarówno w protokole IPv4, jak i IPv6.

Oto zestawienie najpopularniejszych masek podsieci:

Zaawansowane pojęcia związane z podsieciami

Choć poznanie podstawowych masek podsieci, takich jak /24 lub /16, często w zupełności wystarcza, aby zrozumieć zasadę podziału sieci, warto wziąć pod uwagę również bardziej zaawansowane kwestie, które przydają się do skalowania i zapewniania odpowiedniej wydajności.

Klasy IP (A–E) a maski podsieci

Zanim jako standard przyjęto CIDR, adresy IP były pogrupowane w ustalone klasy. Definiowano je przez kilka początkowych bitów adresu IP i przypisywano im domyślną maskę podsieci oraz określony zakres możliwych adresów.

Były one zakodowane na stałe we wczesnych urządzeniach sieciowych. W takiej sytuacji sam adres IP automatycznie określał rozmiar sieci. Często prowadziło to do marnowania przestrzeni adresowej. Przykładowo, firmie mogła zostać przypisana cała sieć klasy B z ponad 65 tys. możliwych adresów, nawet jeśli wystarczyłoby tylko kilkaset. Taki system nie był też wystarczająco elastyczny – administratorzy nie mogli dostosować rozmiaru sieci do konkretnych potrzeb.

Zastosowanie CIDR rozwiązało ten problem, umożliwiając zdefiniowanie dowolnego rozmiaru podsieci przy użyciu długości prefiksu (np. /16) – niezależnie od początkowego numeru adresu IP. Podczas gdy tradycyjne maski klas są zgodne z typowymi blokami CIDR (np. klasa A = /8, B = /16, C = /24), CIDR nie ogranicza się do reguł obowiązujących klasy.

Obecnie adresowanie klasowe jest w dużej mierze przestarzałe, choć i tak warto je zrozumieć, bo może się okazać przydatne przy obsłudze starszych systemów albo przeglądaniu dokumentacji historycznej.

Maski podsieci IPv6

IPv6 to nowsza wersja protokołu Internet Protocol stworzona w celu zastąpienia IPv4 i rozszerzenia dostępnej przestrzeni adresowej. Charakteryzuje się dłuższymi adresami (128-bitowymi), co znacznie zwiększa dostępną pulę adresów względem ok. 4 miliardów w przypadku IPv4. Jest to szczególnie istotne, biorąc pod uwagę stały rozrost Internetu i coraz większą liczbę urządzeń online.

IPv6 w ogóle nie używa masek podsieci. Wszystko opiera się na długości prefiksu, która określa, ile bitów adresu definiuje sieć. Przykładowo, zapis 2001:db8::/32 oznacza, że pierwsze 32 bity reprezentują sieć, a pozostałe są dostępne do tworzenia podsieci i przypisywania urządzeń.

Taki system znacznie ułatwia dzielenie i łączenie sieci. Nie trzeba wyliczać masek podsieci, adresów rozgłoszeniowych czy zakresów hostów – wystarczy dostosować długość prefiksu, aby w razie potrzeby podzielić lub scalić sieci. Ponadto protokół IPv6 w ogóle nie korzysta z oddzielnych adresów rozgłoszeniowych. Tę funkcję zastąpiono „multicast” – rozwiązaniem, które dodatkowo upraszcza zarządzanie siecią.

W praktyce /64 to standardowy rozmiar podsieci IPv6 i minimum wymagane do obsługi bezstanowej autokonfiguracji adresów (SLAAC), która umożliwia urządzeniom automatyczne generowanie własnych adresów IP. Większość dostawców usług internetowych przypisuje blok co najmniej /64, a często większy, np. /48, który można podzielić na maksymalnie 65 536 pojedynczych podsieci /64. To wystarczająca liczba dla odrębnych sieci lokalnych (LAN), sieci dla gości, VPN lub segmentów Internetu rzeczy (IoT).

Podsieci w zastosowaniach domowych z wykorzystaniem routera VPN

W domu podział sieci może przydać się do uporządkowania sprzętów w mniejsze grupy – tak by nie były połączone wspólnie z jedną, dużą siecią. Pozwala to na łatwe rozdzielenie urządzeń służbowych, inteligentnych telewizorów i gadżetów IoT na osobne segmenty, a przy tym dalej mogą one korzystać z tego samego routera.

Dzieląc sieć, należy pamiętać, że nie każdy adres w podsieci nadaje się do użycia. Pierwszy i ostatni adres każdej podsieci są zarezerwowane, dlatego nie da się ich przypisać do urządzeń. Ta prosta zasada obowiązuje zarówno w konfiguracjach domowych, jak i w większych sieciach korporacyjnych.

Niektóre zaawansowane routery domowe, np. ExpressVPN Aircove, mogą bezpośrednio łączyć się z VPN. Takie rozwiązanie pozwala zabezpieczyć urządzenia, na których nie da się uruchomić aplikacji VPN, np. konsole do gier czy telewizory Smart TV. Odpowiednia konfiguracja pozwala podzielić sieć na strefy do pracy, dla gości oraz pod IoT, a dodatkowo przekierować cały ruch przez szyfrowany tunel VPN.

FAQ