Qu’est-ce que le sous-réseautage ?
Le sous-réseautage divise un préfixe IP attribué en préfixes plus petits et sans chevauchement en augmentant la longueur du préfixe. En IPv4, cette longueur et le masque décrivent la même frontière : /24 correspond à 255.255.255.0. Les bits réseau identifient le sous-réseau et les bits restants les adresses qu’il contient.
Un sous-réseau est une frontière d’adressage et de routage de couche 3. Il n’ajoute pas de champ au paquet, ne chiffre pas le trafic, ne crée pas une règle de pare-feu et ne garantit pas de meilleures performances. Le résultat dépend du routage, de la couche 2, des VLAN ou VRF, des pare-feu, des hôtes et de la capacité.
Comment fonctionne le sous-réseautage ?
Avec le bloc 192.0.2.0/24, ajouter deux bits au préfixe crée quatre sous-réseaux /26 : 192.0.2.0/26, 192.0.2.64/26, 192.0.2.128/26 et 192.0.2.192/26. Chacun contient 64 adresses IPv4. Sur un réseau multi-accès classique, la première est l’adresse réseau et la dernière l’adresse de diffusion, soit 62 adresses d’hôte.
| Préfixe | Masque | Adresses totales | Adresses d’hôte classiques |
|---|---|---|---|
| /24 | 255.255.255.0 | 256 | 254 |
| /25 | 255.255.255.128 | 128 | 126 |
| /26 | 255.255.255.192 | 64 | 62 |
| /27 | 255.255.255.224 | 32 | 30 |
| /28 | 255.255.255.240 | 16 | 14 |
| /30 | 255.255.255.252 | 4 | 2 |
| /31 | 255.255.255.254 | 2 | 2 sur une liaison point à point compatible |
| /32 | 255.255.255.255 | 1 | Une adresse d’hôte ou de route |
La règle « retirer deux adresses » n’est pas universelle. Un /31 conforme peut utiliser ses deux adresses sur une liaison point à point et un /32 désigne une seule IPv4. Vérifiez équipements, protocoles, cloud et fournisseur.
Pourquoi créer des sous-réseaux ?
- Planifier les adresses : adapter le préfixe aux interfaces, à la croissance, à la redondance, aux réserves et aux contraintes des plateformes.
- Définir le routage : les routeurs décident à partir des préfixes. Des blocs contigus alignés sur la topologie peuvent être agrégés ; des blocs arbitraires peuvent au contraire augmenter le nombre de routes.
- Limiter la diffusion IPv4 : une frontière de couche 3 limite les broadcasts si la couche 2 la respecte. IPv6 n’utilise pas le broadcast.
- Donner une portée aux politiques : un sous-réseau peut cadrer pare-feu, ACL, QoS, DHCP, DNS, supervision et responsabilité, sans les appliquer lui-même.
- Isoler l’exploitation : des frontières explicites facilitent changements, pannes et attribution si les dépendances et chemins de contournement sont connus.
Une raison concrète de sous-réseauter est de donner aux équipements ayant les mêmes besoins de routage et de politique une frontière d’adressage définie. Le sous-réseautage ne rend pas automatiquement un réseau plus rapide, plus sûr ou conforme.
Sous-réseau, VLAN et VRF
| Objet | Couche principale | Séparation | Ne fournit pas seul |
|---|---|---|---|
| Sous-réseau | Couche 3 | Portée IP et routage | Isolation de couche 2 ou autorisation |
| VLAN | Couche 2 | Domaine de diffusion Ethernet | Plan IP, routeur ou politique de pare-feu |
| VRF | Plan de contrôle de couche 3 | Tables de routage séparées | Chiffrement ou sécurité complète du tenant |
Un modèle courant associe un sous-réseau à un VLAN, mais les termes ne sont pas synonymes. Plusieurs sous-réseaux peuvent partager un segment de couche 2 et un sous-réseau peut être étendu entre sites, au prix d’une exploitation plus complexe. Le trafic entre sous-réseaux nécessite du routage.
Subnetting, supernetting et multinetting
Le subnetting crée des préfixes enfants plus longs et précis. Le supernetting ou agrégation annonce un préfixe plus court couvrant plusieurs routes contiguës, seulement si l’annonceur contrôle tout l’espace et peut joindre chaque adresse couverte. Une mauvaise agrégation crée un trou noir.
Le multinetting place plusieurs réseaux ou préfixes IP logiques sur le même segment physique ou de couche 2. Il peut aider une migration temporaire, mais complique découverte, passerelles, DHCP, politiques et diagnostic ; il ne remplace pas une segmentation explicite.
Comment planifier les sous-réseaux IPv4 et IPv6
- Définir les frontières : sites, domaines de panne, zones de confiance, tenants, applications, portée de couche 2, responsabilité du routage et flux.
- Mesurer le besoin : compter les interfaces, puis ajouter passerelles, équipements redondants, infrastructure, croissance, usages temporaires et réserve.
- Choisir une hiérarchie : réserver un bloc agrégeable par site ou environnement. En VLSM, attribuer d’abord les besoins les plus grands et documenter l’espace d’extension.
- Associer les contrôles : VLAN ou VRF, redondance de passerelle, DHCP et relais, DNS, routes, pare-feu ou ACL, QoS, supervision et propriétaire IPAM.
- Valider : chevauchement, premières et dernières adresses, passerelle, exclusions DHCP, routes retour, agrégats, politique, MTU, basculement et retour arrière.
- Maintenir un IPAM de référence : préfixe, objet, état, propriétaire, bloc parent, site, domaine de routage, dépendances, preuves de changement et retrait.
IPv4 et IPv6 ne se planifient pas de la même manière
IPv4 équilibre souvent rareté des adresses et simplicité. En IPv6, l’espace est beaucoup plus vaste : on préserve généralement une hiérarchie et les comportements normalisés plutôt que de réduire fortement les LAN. Un /64 est le préfixe habituel d’un sous-réseau IPv6 d’hôtes et permet notamment l’autoconfiguration sans état ; choisissez une autre longueur seulement si le type de lien et les implémentations la prennent en charge.
IPv6 n’a pas d’adresse de diffusion et son calcul ne reprend pas les conventions IPv4. Un réseau dual-stack exige des plans, politiques, journaux, DNS et tests distincts pour les deux protocoles.
Erreurs fréquentes
- Créer des préfixes qui se chevauchent ou appliquer le mauvais masque à une interface.
- Confondre nom de VLAN, sous-réseau, zone de sécurité et niveau de confiance.
- Supposer que des sous-réseaux plus petits réduisent toujours routes, latence ou congestion.
- Annoncer un agrégat sans route vers chaque préfixe enfant couvert.
- Oublier route retour, relais DHCP, DNS, redondance, ACL ou état du pare-feu.
- Appliquer les comptes IPv4 à IPv6 ou utiliser
/31et/32sans validation. - Consommer tout l’espace sans réserve, propriétaire, preuve ni processus de retrait.
Sous-réseauter une IPv4 publique routée
Découper une allocation publique ne rend pas chaque préfixe enfant joignable sur Internet. Confirmez route acceptée en amont, longueur minimale, prochain saut, redondance, filtres, responsabilités IRR et RPKI, portée de la LOA, géolocalisation, DNS inverse, contacts abus et droit d’annonce ou de sous-délégation. Consultez le guide de l’adresse IPv4, la gestion stratégique des adresses IP ou la location IPv4 gérée.
FAQ sur le sous-réseautage
Qu’est-ce que le sous-réseautage, simplement ?
C’est la division d’un préfixe IP attribué en préfixes plus petits et sans chevauchement afin de créer des frontières claires d’adressage et de routage.
Qu’est-ce qu’un masque de sous-réseau ?
En IPv4, le masque place des 1 sur les bits réseau et des 0 sur les bits internes. 255.255.255.0 décrit la même frontière que /24.
Pourquoi sous-réseauter un réseau IP ?
Une raison est de donner à un site, une application ou un groupe de politique une plage pouvant être routée, supervisée et contrôlée comme une unité définie.
Quelle différence entre VLAN et sous-réseau ?
Un VLAN est un domaine Ethernet de couche 2 ; un sous-réseau est un préfixe IP de couche 3. Ils sont souvent associés un-à-un, mais se configurent séparément.
Qu’est-ce que le multinetting ?
Il place plusieurs réseaux IP logiques sur le même segment physique ou de couche 2. Il peut faciliter une migration, mais ajoute de la complexité et n’est pas une agrégation de routes.
