Calculateur de sous-réseau IPv4

Par La rédaction de Mon-Adresse-IP.net·Publié le 22 mai 2026·Mis à jour le 21 août 2026·

Indiquez une adresse IPv4 et un préfixe CIDR pour obtenir toutes les caractéristiques du sous-réseau correspondant : adresse réseau, adresse de diffusion, masque, plage d'hôtes et nombre d'adresses disponibles. Le calcul est effectué dans votre navigateur, et la suite de la page explique comment le refaire de tête.

Adresse IPv4

Préfixe (CIDR) /32 /31 /30 /29 /28 /27 /26 /25 /24 /23 /22 /21 /20 /19 /18 /17 /16 /15 /14 /13 /12 /11 /10 /9 /8

Calculer

À quoi sert un calcul de sous-réseau

Découper un réseau en sous-réseaux (subnetting) consiste à diviser une plage d'adresses en segments plus petits, chacun avec ses propres frontières. On ne fait pas ce calcul par goût des mathématiques : il répond à trois besoins très concrets, que vous rencontrerez tôt ou tard dès que vous administrez autre chose qu'une box livrée en configuration d'usine.

1. Dimensionner un réseau avant de le construire

Avant d'attribuer la moindre adresse, il faut savoir combien de machines devront tenir dans chaque segment. La question n'est pas « combien d'ordinateurs ? » mais « combien d'interfaces » : un poste relié en Wi-Fi et en Ethernet en consomme deux, un hyperviseur en consomme une par machine virtuelle, une imprimante, une caméra, un thermostat et un téléviseur en consomment chacun une. À cela s'ajoutent la passerelle, les points d'accès, les commutateurs administrables et la réserve d'adresses statiques que l'on exclut du bail DHCP.

Le calcul se fait à l'envers : partez du nombre d'interfaces prévu, ajoutez une marge de croissance, arrondissez à la puissance de deux supérieure, puis déduisez le préfixe. Vingt-cinq machines exigent 27 adresses avec la passerelle et la marge : 32 adresses, donc 5 bits d'hôte, donc un /27. Cette conversion « besoin en machines → préfixe » est le premier réflexe à acquérir, et notre table des masques CIDR la résume ligne par ligne.

2. Lire une règle de pare-feu ou une liste de contrôle d'accès

Les règles de filtrage s'expriment le plus souvent en préfixes plutôt qu'en adresses isolées. Une ligne du type « autoriser 10.20.0.0/22 vers le port 443 » ne veut rien dire tant que vous n'avez pas traduit ce préfixe en plage réelle. Or l'erreur est facile : un /22 ne couvre pas 10.20.0.0 à 10.20.22.255, mais 10.20.0.0 à 10.20.3.255. Une règle mal calculée ouvre soit trop, soit pas assez ; dans les deux cas, personne ne s'en aperçoit avant l'incident.

Même exigence côté équipements réseau, où certaines listes de contrôle d'accès attendent un masque générique (wildcard), c'est-à-dire le complément bit à bit du masque : 255.255.252.0 s'y écrit 0.0.3.255. Le calculateur ci-dessus affiche les deux notations côte à côte, précisément parce que la confusion entre elles est une source classique de règles inopérantes. Si les termes vous manquent, le glossaire du réseau les définit.

3. Diagnostiquer deux appareils qui ne se voient pas

C'est l'usage le plus fréquent, et le plus rentable. Un serveur est branché, allumé, il répond à lui-même, mais le poste voisin ne le joint pas. Neuf fois sur dix, les deux ne sont pas dans le même sous-réseau, alors que tout le monde croit le contraire.

Le mécanisme est simple. Avant d'émettre un paquet, une machine applique son masque à son adresse et à l'adresse de destination. Si les deux résultats sont identiques, elle considère la destination comme locale et cherche l'adresse matérielle du destinataire sur le câble ou le Wi-Fi ; sinon, elle confie le paquet à sa passerelle. Une machine en 10.0.0.30/25 et une autre en 10.0.0.140/25 sont sur le même commutateur mais dans deux sous-réseaux distincts : sans routeur entre les deux, elles ne se parleront jamais. Faites passer les deux adresses dans le calculateur : si les adresses de réseau diffèrent, le diagnostic est posé en dix secondes, sans lancer le moindre ping ni traceroute.

Les cinq valeurs que produit le calcul

Quel que soit l'outil employé, un calcul de sous-réseau produit toujours les mêmes cinq valeurs. Prenons un exemple que nous garderons tout au long de cette section : 192.168.10.0/26, un quart de /24, taille très courante pour un VLAN de service.

Adresse de réseau	192.168.10.0 : tous les bits d'hôte à zéro. C'est le nom du segment, celui qui figure dans les tables de routage et dans les règles de filtrage. Aucune machine ne peut la porter.
Adresse de diffusion	192.168.10.63 : tous les bits d'hôte à un. Un paquet envoyé à cette adresse est remis à toutes les machines du segment ; c'est ce qui permet à un client DHCP de demander une adresse alors qu'il n'en a pas encore.
Première adresse utilisable	192.168.10.1 : juste après l'adresse de réseau. Par convention, c'est presque toujours là que l'on place la passerelle, mais rien ne l'impose.
Dernière adresse utilisable	192.168.10.62 : juste avant la diffusion. Certaines organisations y placent la passerelle plutôt qu'en première position ; l'essentiel est de rester cohérent d'un segment à l'autre.
Nombre d'hôtes	62 : soit 232−26 − 2, c'est-à-dire 64 adresses au total moins le réseau et la diffusion. Une fois la passerelle déduite, il reste 61 adresses réellement disponibles pour des machines.

Deux repères à mémoriser. D'abord, le nombre d'adresses double à chaque bit retiré au préfixe : un /26 contient 64 adresses, un /25 en contient 128, un /24 en contient 256. Ensuite, l'adresse de diffusion d'un sous-réseau est toujours celle qui précède l'adresse de réseau suivant : si le bloc voisin commence à 192.168.10.64, la diffusion du bloc courant est 192.168.10.63. Cette seule règle évite l'essentiel des erreurs de bornage.

Comprendre le masque bit à bit

Une adresse IPv4 est un nombre de 32 bits, écrit par commodité en quatre octets décimaux séparés par des points. Le masque est un nombre de 32 bits lui aussi, mais avec une contrainte : tous les bits à 1 sont groupés à gauche, tous les bits à 0 à droite. Le préfixe CIDR compte simplement les bits à 1. Un /26, ce sont 26 bits à 1 puis 6 bits à 0.

Le calcul de l'adresse de réseau est une opération ET binaire (AND) entre l'adresse et le masque, bit par bit : le résultat vaut 1 seulement si les deux bits valent 1. Comme la partie hôte du masque est entièrement à zéro, l'opération efface les bits d'hôte de l'adresse et ne laisse que la partie réseau.

# Où se trouve 192.168.10.75 avec un préfixe /26 ?
Adresse    192.168.10.75     11000000.10101000.00001010.01001011
Masque     255.255.255.192   11111111.11111111.11111111.11000000
                             -----------------------------------
ET binaire → réseau          11000000.10101000.00001010.01000000   = 192.168.10.64

# La diffusion : on remet à 1 tous les bits d'hôte (OU avec le wildcard)
Wildcard   0.0.0.63          00000000.00000000.00000000.00111111
OU binaire → diffusion       11000000.10101000.00001010.01111111   = 192.168.10.127

Trois observations utiles se lisent directement sur ce schéma. Premièrement, la frontière entre réseau et hôte ne tombe pas forcément sur un point : ici elle coupe le dernier octet en deux, ce qui explique pourquoi les sous-réseaux ne se lisent pas « à l'œil » comme un /24. Deuxièmement, le masque générique est exactement l'inverse du masque : 63 = 255 − 192. Troisièmement, toutes les adresses d'un même sous-réseau partagent le même préfixe binaire ; c'est cette propriété qui permet à un routeur de résumer des milliers d'adresses en une seule ligne de table.

Il n'existe qu'un seul cas où l'ordre des bits change tout : un masque dont les 1 ne seraient pas contigus (par exemple 255.255.0.255) est invalide. Aucun système d'exploitation moderne ne l'accepte, et la notation CIDR rend d'ailleurs cette erreur impossible à écrire.

La méthode du nombre magique

Personne, dans la pratique, ne convertit en binaire pour trouver les bornes d'un sous-réseau. On utilise une astuce arithmétique qui donne le résultat en quelques secondes, y compris sur un coin de table pendant une réunion.

Dans un masque, un seul octet porte réellement l'information : celui qui ne vaut ni 255 ni 0. On l'appelle l'octet significatif. Le nombre magique est :

nombre magique = 256 − valeur de l'octet significatif

Ce nombre a une double signification : il donne la taille du sous-réseau dans cet octet, et le pas entre deux adresses de réseau consécutives. Les adresses de réseau sont donc les multiples du nombre magique dans cet octet, et l'adresse de diffusion est toujours celle qui précède la frontière suivante. Voici la marche à suivre, applicable à n'importe quel préfixe.

1. Traduire le préfixe en masque Repérez l'octet significatif. Le préfixe indique dans quel octet tombe la frontière : /1 à /8 dans le premier, /9 à /16 dans le deuxième, /17 à /24 dans le troisième, /25 à /32 dans le quatrième.
2. Calculer le nombre magique 256 moins la valeur de cet octet. Le résultat est toujours une puissance de deux : 128, 64, 32, 16, 8, 4 ou 2.
3. Trouver la frontière inférieure Dans l'octet correspondant de l'adresse, cherchez le multiple du nombre magique immédiatement inférieur ou égal. C'est l'adresse de réseau, les octets suivants étant mis à zéro.
4. Déduire la diffusion Ajoutez le nombre magique pour obtenir la frontière suivante, puis retirez une adresse. Les octets situés après l'octet significatif passent à 255.
5. Encadrer les hôtes Première utilisable = réseau + 1, dernière utilisable = diffusion − 1.

Exemple 1 : Où se trouve 172.16.4.130/27 ?

Le préfixe /27 tombe dans le quatrième octet : 27 = 24 + 3, donc trois bits à 1 dans le dernier octet, soit 128 + 64 + 32 = 224. Le masque est 255.255.255.224 et l'octet significatif vaut 224.

Nombre magique : 256 − 224 = 32. Les frontières sont donc 0, 32, 64, 96, 128, 160, 192 et 224.

Le dernier octet de l'adresse vaut 130. Le multiple de 32 immédiatement inférieur est 128 : l'adresse de réseau est 172.16.4.128. La frontière suivante est 160, donc la diffusion est 172.16.4.159. Les hôtes vont de 172.16.4.129 à 172.16.4.158, soit 30 adresses.

Conséquence pratique immédiate : une machine configurée en 172.16.4.100/27 appartient au bloc 172.16.4.96/27, donc à un autre segment. Les deux postes peuvent être branchés sur le même commutateur, ils auront besoin d'un routeur pour se parler.

Exemple 2 : Les bornes de 10.12.200.75/21

Cette fois le préfixe tombe dans le troisième octet : 21 = 16 + 5, donc cinq bits à 1, soit 128 + 64 + 32 + 16 + 8 = 248. Le masque est 255.255.248.0 et l'octet significatif est le troisième, à 248.

Nombre magique : 256 − 248 = 8. Les réseaux successifs sont 10.12.0.0, 10.12.8.0, 10.12.16.0… et ainsi de suite de huit en huit.

Le troisième octet de l'adresse vaut 200, qui est lui-même un multiple de 8 (25 × 8). L'adresse de réseau est donc 10.12.200.0, la frontière suivante 10.12.208.0, et la diffusion 10.12.207.255. Les hôtes s'étendent de 10.12.200.1 à 10.12.207.254, soit 2 046 adresses réparties sur huit blocs /24 consécutifs.

Un dernier repère qui fait gagner du temps : le nombre d'hôtes utilisables d'un préfixe entre /25 et /30 vaut « nombre magique moins deux ». 32 − 2 = 30 pour un /27, 16 − 2 = 14 pour un /28, 8 − 2 = 6 pour un /29. Au-delà du troisième octet, multipliez par 256 : un /21 a un nombre magique de 8, donc 8 × 256 − 2 = 2 046 hôtes.

Découper un réseau : exercice complet

Passons à un cas réel. Vous disposez du réseau 10.0.0.0/24 et vous devez créer quatre sous-réseaux étanches de taille égale : postes de travail, téléphonie, imprimantes et objets connectés.

1. Compter les bits à emprunter Quatre sous-réseaux exigent 2 bits supplémentaires, puisque 2² = 4. Le préfixe passe de /24 à /26.
2. Vérifier la capacité restante Un /26 laisse 6 bits d'hôte, soit 64 adresses et 62 machines par segment. Si l'un des groupes devait dépasser 62 interfaces, il faudrait revoir le découpage.
3. Calculer le nombre magique /26 = 255.255.255.192, donc 256 − 192 = 64. Les frontières sont 0, 64, 128 et 192.
4. Écrire les quatre blocs Il suffit de dérouler les multiples de 64 et de retirer une adresse à chaque frontière pour obtenir la diffusion.

10.0.0.0/26 : postes de travail	Hôtes de 10.0.0.1 à 10.0.0.62 · diffusion 10.0.0.63 · 62 adresses
10.0.0.64/26 : téléphonie	Hôtes de 10.0.0.65 à 10.0.0.126 · diffusion 10.0.0.127 · 62 adresses
10.0.0.128/26 : imprimantes	Hôtes de 10.0.0.129 à 10.0.0.190 · diffusion 10.0.0.191 · 62 adresses
10.0.0.192/26 : objets connectés	Hôtes de 10.0.0.193 à 10.0.0.254 · diffusion 10.0.0.255 · 62 adresses

Les quatre segments partagent le même masque 255.255.255.192, et chacun a besoin de sa propre passerelle : 10.0.0.1, 10.0.0.65, 10.0.0.129 et 10.0.0.193. Ces quatre plages restent privées : vues d'Internet, toutes les machines sortent derrière la même adresse publique grâce au NAT, et le découpage interne est totalement invisible depuis l'extérieur. La distinction entre les deux mondes est détaillée dans notre guide sur l'adresse IP publique et privée.

Second exercice : un découpage de taille variable (VLSM)

Découper en parts égales gaspille des adresses dès que les besoins sont hétérogènes. Le VLSM (Variable Length Subnet Mask) consiste à donner à chaque segment le préfixe qui lui convient, dans un même bloc de départ. Une seule règle compte, et elle explique la plupart des découpages ratés : il faut placer les segments du plus grand au plus petit. Dans l'autre sens, les gros blocs ne trouvent plus de frontière alignée et le plan se bloque.

Reprenons 192.168.20.0/24 avec quatre besoins : 100 postes, 50 téléphones, 20 imprimantes, et deux liaisons point à point entre routeurs.

1. Classer les besoins par ordre décroissant 100, puis 50, puis 20, puis 2 et 2. C'est l'étape que l'on oublie et qui coûte une reprise complète.
2. Convertir chaque besoin en préfixe 100 machines → 128 adresses → /25. 50 → 64 adresses → /26. 20 → 32 adresses → /27. Une liaison entre deux routeurs → /30, qui offre exactement 2 hôtes.
3. Placer le plus grand bloc en premier Les postes prennent 192.168.20.0/25, soit de .0 à .127. La frontière libre suivante est .128.
4. Poursuivre dans l'ordre Téléphonie : 192.168.20.128/26 (.128 à .191). Imprimantes : 192.168.20.192/27 (.192 à .223). Liaisons : 192.168.20.224/30 et 192.168.20.228/30.
5. Vérifier l'alignement Chaque adresse de réseau doit être un multiple de la taille de son propre bloc : 128 est bien multiple de 64, 192 est multiple de 32, 224 et 228 sont multiples de 4. Si cette vérification échoue, deux plages se chevauchent.

Bilan : les cinq segments occupent de .0 à .231, et il reste 192.168.20.232 à 192.168.20.255 disponibles, soit encore un /28 et un /29 pour de futurs besoins. Un découpage en parts égales aurait, lui, imposé cinq blocs de 128 adresses : impossible dans un seul /24. Avant de figer un plan d'adressage, vérifiez dans notre table des adresses IP réservées que la plage choisie n'entre pas en collision avec un usage normalisé, notamment la plage 100.64.0.0/10 employée par le CGNAT de certains opérateurs.

Les cas particuliers /31 et /32

La formule 2^{32−préfixe} − 2 s'applique jusqu'au /30 inclus, qui offre 4 adresses et 2 hôtes. Au-delà, elle donnerait zéro ou un nombre négatif : deux règles particulières prennent le relais.

Le /31 : la liaison point à point. Sur un lien qui ne relie que deux routeurs, il n'y a personne à qui diffuser et le segment n'a pas besoin d'être nommé séparément. La RFC 3021, publiée en 2000, autorise donc à utiliser les deux adresses d'un /31 comme adresses d'interface. 203.0.113.0/31 fournit ainsi 203.0.113.0 et 203.0.113.1, sans adresse de réseau ni de diffusion. L'économie n'est pas symbolique : sur un cœur de réseau comptant des centaines de liens, passer du /30 au /31 divise par deux la consommation d'adresses publiques. Tous les routeurs professionnels récents le gèrent, mais certains équipements anciens ou certaines piles embarquées le refusent encore : vérifiez avant de renuméroter.

Le /32 : l'hôte unique. Un préfixe de 32 bits ne laisse aucun bit d'hôte : il désigne exactement une adresse. Ce n'est pas un sous-réseau au sens habituel, mais une notation, et elle est omniprésente : route hôte dans une table de routage, règle de pare-feu visant une seule machine, adresse de bouclage d'un routeur, entrée dans une liste d'adresses autorisées. Le calculateur affiche logiquement 1 hôte utilisable et aucune adresse de diffusion. Le pendant IPv6 du /32 est le /128, avec exactement la même fonction.

Les erreurs classiques

Les pannes de sous-réseau se répètent avec une régularité remarquable. En voici six, avec leur symptôme caractéristique : reconnaître le symptôme suffit souvent à trouver la cause.

• Des masques incohérents d'un appareil à l'autre. Un poste en 10.0.0.10/24 et un serveur en 10.0.0.200/25 sur le même commutateur : le premier croit le second local, le second croit le premier distant et l'envoie à la passerelle. Symptôme typique : le ping fonctionne dans un sens et pas dans l'autre, ou fonctionne tant que la passerelle est en ligne. Vérifiez que tous les équipements du segment, passerelle et point d'accès compris, portent le même masque.
• Des plages qui se chevauchent. Votre réseau domestique est en 192.168.1.0/24 et le VPN de votre employeur annonce la même plage : les deux routes entrent en conflit et l'accès distant devient imprévisible. Même problème lorsqu'un routeur secondaire distribue une plage incluse dans celle du routeur principal. La parade tient en une phrase : choisissez chez vous un bloc improbable, par exemple 10.73.42.0/24, plutôt que les valeurs par défaut des box.
• Un sous-réseau calculé trop juste. « Quatorze appareils, un /28 suffira » est une fausse économie : chaque téléphone, chaque enceinte, chaque ampoule connectée consomme une adresse, et un renumérotage coûte infiniment plus cher qu'un bloc prévu large. En adressage privé, l'espace ne manque pas : 10.0.0.0/8 contient plus de 16 millions d'adresses.
• Confondre le /24 et le masque 255.255.255.0. Ce ne sont pas deux choses différentes mais deux écritures de la même valeur. L'erreur inverse est plus dangereuse : écrire /24 là où l'équipement attend un masque générique de liste d'accès, ou saisir 255.255.255.0 dans un champ qui attend un nombre de bits. Relisez toujours l'unité attendue par le champ de saisie.
• Utiliser l'adresse de réseau comme adresse de machine. Configurer un serveur en 10.0.0.64 dans un /26 revient à lui donner l'adresse du segment lui-même. Selon le système, la configuration est refusée ou provoque des comportements erratiques. Même remarque pour la dernière adresse du bloc, réservée à la diffusion.
• Oublier la passerelle dans le décompte. Un /29 offre 6 hôtes utilisables ; la passerelle en consomme un, il en reste 5. Sur un petit bloc public professionnel, l'oubli se paie au moment d'ajouter un serveur. Même logique côté DHCP : si la plage distribuée automatiquement recouvre vos adresses fixes, vous obtiendrez des conflits d'adresses intermittents, longs à diagnostiquer. Réservez explicitement une portion du sous-réseau aux adresses statiques.

Et en IPv6

En IPv6, la question « combien d'hôtes tiennent dans ce sous-réseau ? » perd son sens. Une adresse fait 128 bits, et un simple /64 contient déjà plus de 18 milliards de milliards d'adresses : aucun réseau local ne sera jamais à l'étroit. On ne dimensionne donc plus en nombre de machines, mais en nombre de sous-réseaux, c'est-à-dire en nombre de blocs /64 disponibles.

Le /64 n'est pas une convention arbitraire. L'auto-configuration sans état (SLAAC), par laquelle un appareil fabrique lui-même son adresse à partir de l'annonce du routeur, suppose un identifiant d'interface de 64 bits. Découper plus finement qu'un /64 casse cette auto-configuration et la découverte de voisins : la règle pratique est donc de ne jamais descendre en dessous du /64 sur un réseau local, même pour un segment qui n'accueillera que trois machines. Il n'existe par ailleurs pas d'adresse de diffusion en IPv6, remplacée par le multicast : on ne perd plus deux adresses par sous-réseau.

Le calcul se déplace donc vers la délégation de préfixe. Un opérateur reçoit typiquement un /32 de son registre régional, puis délègue à chaque abonné un préfixe entier par DHCPv6-PD. En France, les box grand public reçoivent selon les offres un /56, un /60 ou, dans les cas les plus restrictifs, un unique /64. La règle de calcul est simple : un préfixe /n contient 2⁶⁴⁻ⁿ réseaux /64. Un /56 offre donc 256 réseaux locaux, un /60 en offre 16, et un /64 n'en offre qu'un seul : auquel cas il devient impossible de créer un second segment derrière la box, par exemple pour isoler un réseau invité. Notre guide IPv6 à la maison explique comment lire le préfixe réellement délégué à votre connexion, et notre comparatif IPv4 et IPv6 détaille les autres différences entre les deux protocoles.

Questions fréquentes