O que é máscara de sub-rede e como calculá-la?

Você abre os detalhes da sua conexão Wi-Fi e encontra três números juntos: um endereço IP como 192.168.1.37, um endereço do roteador como 192.168.1.1 e, entre eles, uma máscara de sub-rede 255.255.255.0. Dois deles parecem endereços. O terceiro nem tanto, mas um único dígito errado nele pode deixar um notebook sem impressora ou sem internet.

Este artigo explica o que uma máscara de sub-rede faz, como ler 255.255.255.0 e /24 e como calcular uma sub-rede com um exemplo resolvido em binário. Depois mostra onde encontrar a sua máscara em cada dispositivo, o que uma máscara errada quebra e por que quem usa proxy fala em blocos /24.

O que é máscara de sub-rede?#

A máscara de sub-rede é a configuração que divide um endereço IPv4 em duas partes: a parte de rede, comum a todos os dispositivos da mesma rede local, e a parte de host, diferente em cada dispositivo. Host é qualquer coisa que tenha um endereço: um notebook, um celular, uma impressora. O guia de endereçamento TCP/IP e sub-redes da Microsoft acrescenta para que serve essa divisão: o TCP/IP usa a máscara para decidir se outro host está na sub-rede local ou em uma rede remota.

Um endereço IPv4 tem 32 bits escritos como quatro números de 0 a 255; cada número é um octeto, ou seja, oito bits. A máscara é escrita do mesmo jeito, mas não é um endereço: nada é enviado para ela. Se o próprio endereço ainda é novidade para você, comece por O que é endereço IP?

Uma sub-rede é o grupo de endereços que compartilham a mesma parte de rede. Comparando com um endereço postal, a máscara marca onde termina o nome da rua e onde começa o número da casa.

Como ler 255.255.255.0?#

Em binário. 255 são oito uns (11111111) e 0 são oito zeros, então 255.255.255.0 são 24 uns seguidos de 8 zeros. Os uns marcam a parte de rede, e os zeros, a parte de host.

O padrão CIDR exige que os uns sejam contínuos a partir da esquerda, por isso cada octeto de uma máscara só pode valer 255, 254, 252, 248, 240, 224, 192, 128 ou 0, com de 8 a 0 uns. 255.255.255.192 é válida (8 + 8 + 8 + 2 = 26 uns); 255.255.255.100 não é.

O que significa /24?#

/24 é a forma curta da mesma máscara: ela conta os uns. 192.168.1.37 com 255.255.255.0 é escrito 192.168.1.37/24. A notação vem do CIDR (Classless Inter-Domain Routing, roteamento entre domínios sem classes), definido hoje na RFC 4632: um endereço, uma barra e um valor de 0 a 32 que indica o número de bits significativos, o comprimento do prefixo.

Antes do CIDR, os endereços eram divididos em classes com máscaras fixas: a classe A usava 255.0.0.0, a B 255.255.0.0 e a C 255.255.255.0. A RFC 4632 aposentou as classes, mas a tabela dela ainda rotula o /24 como o tamanho da antiga classe C, e é por isso que ainda se diz "uma rede classe C".

Como o seu dispositivo usa a máscara de sub-rede?#

Ele compara endereços antes de cada envio para saber se o destino está dentro da rede local ou além dela:

1. Ele conhece o próprio endereço e a própria máscara, por exemplo 192.168.1.37 e 255.255.255.0, geralmente recebidos do roteador via DHCP, o serviço que distribui as configurações de rede automaticamente.
2. Ele calcula a própria rede com uma operação chamada AND (E lógico): um bit do endereço só se mantém onde a máscara tem 1. O resultado é 192.168.1.0.
3. Ele faz o mesmo com o destino. Uma impressora em 192.168.1.200 também dá 192.168.1.0; um site em 203.0.113.25 dá 203.0.113.0.
4. Mesma rede: entrega direta. O pacote vai direto para a impressora.
5. Rede diferente: envio ao gateway. O pacote para o site vai para o seu roteador, que o encaminha em direção à internet.

Como calcular uma sub-rede a partir do IP e da máscara?#

Faça o AND do endereço com a máscara para obter o endereço de rede, coloque todos os bits de host em 1 para obter o endereço de broadcast e conte os bits de host para saber o tamanho. Este é o cálculo de 192.168.1.37/24, conferido linha por linha com um script curto:

1. Escreva o endereço em binário. 192 é 11000000, 168 é 10101000, 1 é 00000001 e 37 é 00100101 (32 + 4 + 1).
2. Escreva a máscara embaixo: 24 uns e depois 8 zeros.
3. Faça o AND das duas linhas. Onde a máscara tem 1, copie o bit do endereço; onde tem 0, escreva 0. Esse é o endereço de rede.
4. Coloque os 8 bits de host em 1. Esse é o endereço de broadcast (difusão), que alcança todos os dispositivos da sub-rede ao mesmo tempo.
5. Conte e subtraia. Oito bits de host dão 2⁸ = 256 endereços. O endereço de rede e o de broadcast não podem ser atribuídos a nenhum dispositivo, o que deixa 254 endereços utilizáveis: de 192.168.1.1 a 192.168.1.254.

                     decimal          binário
Endereço IP          192.168.1.37     11000000.10101000.00000001.00100101
Máscara de sub-rede  255.255.255.0    11111111.11111111.11111111.00000000
Rede (AND)           192.168.1.0      11000000.10101000.00000001.00000000
Broadcast            192.168.1.255    11000000.10101000.00000001.11111111

Para outras máscaras existe um atalho. Com /26 (255.255.255.192), subtraia de 256 o último octeto diferente de zero: 256 − 192 = 64, então as sub-redes começam em .0, .64, .128 e .192. Um endereço que termina em .100 cai no bloco .64: rede 192.168.1.64, broadcast 192.168.1.127, utilizáveis de .65 a .126. As calculadoras de sub-rede on-line fazem exatamente isso.

Quais são as máscaras de sub-rede mais comuns?#

Estas são as máscaras que você tem mais chance de encontrar.

Cada passo de um no prefixo divide o bloco pela metade. Um /30 basta para um link entre dois roteadores, e um /32 é um único endereço: em regras de firewall, listas de permissões e configurações de VPN, ele significa "este endereço e nenhum outro".

Como descobrir a sua máscara de sub-rede?#

Veja os detalhes de rede da conexão que você está usando; no Windows, um único comando mostra tudo.

Windows#

Digite cmd no menu Iniciar, abra o Prompt de Comando e execute:

ipconfig

O comando lista o endereço IPv4, a máscara de sub-rede e o gateway padrão de cada adaptador de rede. Em um Windows em português, as linhas aparecem em português. Esta é a saída, resumida, no nosso computador de testes com Windows 11, com os endereços trocados por valores de documentação (em casa, você geralmente verá 192.168.x.x):

Ethernet adapter Ethernet:

   IPv4 Address. . . . . . . . . . . : 192.0.2.37
   Subnet Mask . . . . . . . . . . . : 255.255.255.0
   Default Gateway . . . . . . . . . : 192.0.2.1

Leia o bloco do adaptador que você usa; os adaptadores marcados como Media disconnected (desconectado) podem ser ignorados.

Mac#

O guia de ajustes de TCP/IP da Apple indica este caminho:

1. Escolha menu Apple > Ajustes do Sistema e clique em Rede na barra lateral.
2. Selecione a conexão que você usa, por exemplo Wi-Fi, e clique em Detalhes.
3. Clique em TCP/IP. Essa seção mostra o endereço IPv4, a máscara de sub-rede e o roteador.

iPhone#

1. Abra o app Ajustes e toque em Wi-Fi.
2. Toque no botão Mais Informações ao lado da rede à qual você está conectado.
3. Role até a seção do endereço IPv4, que lista o endereço IP, a máscara de sub-rede e o roteador.

Android#

Os nomes dos menus mudam de uma marca para outra. A ajuda do Android sobre redes Wi-Fi do Google traz o caminho padrão:

1. Abra o app Configurações e toque em Rede e Internet > Internet.
2. Toque em Configurações de Wi-Fi (o ícone de engrenagem) ao lado da rede conectada.
3. Role para baixo até os detalhes da rede. Muitos celulares mostram a máscara de sub-rede ali; alguns mostram só o endereço e o gateway.

Para um endereço estático, o Android pede um Network prefix length (comprimento do prefixo de rede) em vez de uma máscara: 24 significa 255.255.255.0. A página de administração do seu roteador também mostra a máscara de toda a rede de casa nas configurações de LAN.

Máscara de sub-rede, endereço IP e gateway padrão: qual é a diferença?#

O endereço IP identifica o seu dispositivo, a máscara de sub-rede diz até onde vai a rede local, e o gateway padrão é o roteador que cuida de tudo o que fica além desse limite.

Os três precisam combinar: o gateway tem de estar dentro da faixa que a máscara descreve. A máscara é a mesma em todos os dispositivos de uma rede; o endereço IP é único para cada um. Como o gateway funciona e como encontrá-lo está explicado em O que é gateway padrão?

O que acontece se a máscara de sub-rede estiver errada?#

O dispositivo traça o limite da rede no lugar errado, então alguns dispositivos ou a internet inteira param de responder enquanto o Wi-Fi continua mostrando conexão. Máscaras erradas vêm de configurações manuais; o DHCP distribui a certa.

• Estreita demais. Um notebook em 192.168.1.37 com 255.255.255.128 (/25) acha que a rede dele termina em .127, então o tráfego para a impressora em .200 vai para o roteador, e chegar ou não à impressora depende do roteador. Um dispositivo em .200 com essa máscara cobre de .128 a .255; o roteador em .1 fica de fora, e a internet cai.
• Larga demais. Com 255.255.0.0 (/16), o notebook trata qualquer endereço 192.168.x.x como local. Se o seu roteador estiver ligado a um segundo aparelho em 192.168.0.1, como um modem do provedor, o notebook nunca envia esse tráfego ao gateway e a página do modem não abre. O guia da Microsoft descreve o padrão: a comunicação falha com redes próximas, mas não com as distantes.
• A solução. Volte a conexão para automático (DHCP) ou copie a máscara do roteador ou de um dispositivo que funcione.

Como o IPv6 lida com a máscara de sub-rede?#

O IPv6 não tem máscara com pontos: uma rede é escrita só como endereço/comprimento do prefixo, a forma que a RFC 4291 define, em que o número conta os bits mais à esquerda que formam a rede. Endereços IPv6 comuns reservam os últimos 64 bits para o identificador de interface do dispositivo, então uma rede local normalmente é um /64: a primeira metade nomeia a rede, e a segunda, o dispositivo.

Por que quem usa proxy se importa com sub-redes /24?#

Porque sites e sistemas de reputação julgam um endereço em parte pelos vizinhos, e quem usa proxy costuma medir essa vizinhança como um /24: os 256 endereços que compartilham os três primeiros números. Muitos endereços de proxy do mesmo /24 parecem menos um grupo de usuários diferentes e mais uma única origem.

Alguns serviços de pontuação de fraude afirmam que o que aprendem sobre um endereço é aplicado à sub-rede e à rede dele; então, se um endereço de um /24 enviou spam, os vizinhos começam com uma pontuação pior. As listas por trás dessas pontuações estão explicadas em o que é reputação de IP.

Endereços residenciais pertencem às conexões domésticas de muitos provedores de internet, então um pool residencial se espalha por muitos blocos, e não por alguns poucos vizinhos. Com os Proxies residenciais da Proxynet, você escolhe o país e a cidade e também pode segmentar uma rede pelo ASN.

Endereços de datacenter costumam ser alocados em faixas consecutivas, então, nos Proxies de datacenter, vários endereços podem compartilhar um /24 e, com ele, uma reputação: um problema causado por um projeto pode atingir os outros desse bloco.

Diversidade de blocos não é um jeito de contornar as regras de um site. Espalhar requisições por blocos para escapar de um limite de taxa ou de um bloqueio é exatamente o comportamento que os sistemas antiabuso foram feitos para detectar; mantenha um ritmo de requisições razoável, sejam quais forem os endereços.

Onde você encontra máscaras de sub-rede#

• Configurações do roteador de casa: a página de LAN mostra a máscara e a faixa que o DHCP distribui.
• Endereços estáticos em dispositivos: impressoras, câmeras e unidades NAS pedem um endereço, uma máscara e um gateway.
• Redes na nuvem e regras de firewall: escritas em notação CIDR, como 10.0.0.0/16.

Erros comuns#

• Tratar a máscara como um endereço. Ela descreve uma faixa; não há nada para pingar.
• Ler /24 como "24 dispositivos". Significa 24 bits de rede, o que deixa 254 endereços utilizáveis.
• Dar a um dispositivo o endereço de rede ou o de broadcast. Em um /24, .0 e .255 são reservados.
• Digitar uma máscara que não bate com a do roteador. Todos os dispositivos de uma rede usam a mesma máscara.
• Esperar que a máscara mude o seu IP público, a sua velocidade ou a sua privacidade. Ela só decide o que é local.

Guia de decisão#

Perguntas frequentes#

Qual deve ser a minha máscara de sub-rede?#

A mesma do resto da sua rede, que em casa geralmente é 255.255.255.0. Se o seu dispositivo recebe as configurações automaticamente, o roteador já a definiu. Para um endereço estático, copie a máscara do roteador ou de um computador que funcione.

255.255.255.0 é o mesmo que /24?#

Sim. 255.255.255.0 escreve os 32 bits em quatro octetos, e /24 conta os 24 uns do início. Os dois significam 256 endereços, 254 deles utilizáveis.

Dois dispositivos podem ter a mesma máscara de sub-rede?#

Sim, e na mesma rede eles devem ter. A máscara descreve a rede, então todos os dispositivos dela compartilham a máscara; o que precisa ser diferente é o endereço IP.

Qual é a diferença entre 255.255.255.0 e 255.255.0.0?#

O tamanho da rede. 255.255.255.0 (/24) deixa 8 bits para dispositivos, ou seja, 254 endereços utilizáveis; 255.255.0.0 (/16) deixa 16 bits, ou seja, 65.534 endereços. Roteadores domésticos normalmente usam a primeira.

Dá para descobrir a máscara de sub-rede só pelo endereço IP?#

Não. Um endereço não carrega a própria máscara: 192.168.1.37 pode estar em um /24, um /25 ou um /16. Você precisa da configuração em si, vinda do dispositivo, do roteador ou do administrador da rede.

A máscara de sub-rede afeta a velocidade da internet?#

Não. A máscara só decide se um destino é local ou passa pelo roteador. Uma máscara errada derruba conexões em vez de deixá-las lentas.

Em resumo#

A máscara de sub-rede divide um endereço IPv4 em uma parte de rede e uma parte de host: os uns marcam a rede, e os zeros, os dispositivos. 255.255.255.0 e /24 são a mesma máscara, 256 endereços com 254 utilizáveis, e o dispositivo a usa para decidir se entrega diretamente ou pelo gateway padrão. Faça o AND do endereço com a máscara, coloque os bits de host em 1 e você terá os endereços de rede e de broadcast de qualquer sub-rede. A maioria dos problemas de máscara acaba quando você volta para o DHCP. Se você precisa de endereços de proxy espalhados por muitas redes, compare as opções na nossa página de produtos de proxy.