Qu'est-ce qu'un sous-réseau, et que fait un masque de sous-réseau ?

Le découpage en sous-réseaux est la façon dont un grand espace d'adresses IP est divisé en morceaux gérables et routables. Le masque de sous-réseau est l'outil qui réalise ce découpage, et le comprendre est fondamental pour le routage et pour la segmentation réseau en tant que contrôle de sécurité.

Bits réseau vs bits hôte

Une adresse IPv4 fait 32 bits. Le masque de sous-réseau est une seconde valeur de 32 bits où les 1 de tête marquent la partie réseau et les 0 de fin marquent la partie hôte. Pour 192.168.1.0/24, le masque est 255.255.255.0 — les 24 premiers bits (192.168.1) identifient le réseau, et les 8 derniers identifient les hôtes individuels. Le /24 est la notation CIDR, simple raccourci pour « 24 bits réseau ».

À quoi sert le masque

Quand un hôte veut envoyer un paquet, il applique un ET logique entre l'IP de destination et son propre masque. Si le résultat correspond à son propre réseau, la destination est locale et il livre directement via ARP/MAC. Sinon, le paquet est distant et part vers la passerelle par défaut. Le masque décide donc littéralement « parler directement ou confier au routeur ».

Comptes d'hôtes

Un /24 a 8 bits hôte = 256 adresses, mais deux sont réservées : l'adresse réseau (tous les bits hôte à 0) et l'adresse de diffusion (tous les bits hôte à 1), laissant 254 utilisables.

Pourquoi c'est important pour la sécurité

Des sous-réseaux plus petits créent des domaines de diffusion plus petits et des frontières naturelles sur lesquelles poser des contrôles d'accès. Segmenter les serveurs, les postes de travail des utilisateurs et les appareils IoT en sous-réseaux séparés limite le mouvement latéral — un attaquant qui atterrit dans un sous-réseau ne peut pas en atteindre librement un autre si un pare-feu se trouve entre eux.

Les recruteurs attendent la séparation réseau/hôte, ce que signifie /24, la décision local vs passerelle, et idéalement l'avantage de sécurité de la segmentation.