Table des masques de sous-réseau CIDR

Par La rédaction de Mon-Adresse-IP.net·Publié le 21 août 2026·

Les 33 longueurs de préfixe IPv4, de /0 à /32, avec le masque décimal, le masque binaire, le nombre d'adresses et le nombre d'hôtes réellement utilisables. Suivent les préfixes IPv6 courants et la méthode pour découper un réseau de tête, sans calculatrice.

Lire un masque en 30 secondes

Une adresse IPv4 fait 32 bits. Le masque de sous-réseau sert à couper ces 32 bits en deux parties : à gauche la partie réseau, identique pour toutes les machines du même segment ; à droite la partie hôte, propre à chaque appareil. Le masque n'est rien d'autre qu'une suite de bits à 1 suivie d'une suite de bits à 0, sans jamais mélanger les deux.

C'est de là que vient l'omniprésence du nombre 255 : en binaire, 255 s'écrit 11111111, soit un octet entier de bits de réseau. Un masque 255.255.255.0 contient donc 24 bits à 1, ce que la notation CIDR résume par /24. Inversement, /26 signifie 26 bits à 1, c'est-à-dire 11111111.11111111.11111111.11000000, soit 255.255.255.192.

La règle de taille en découle mécaniquement : il reste 32 − p bits pour numéroter les hôtes, donc 2^32−p adresses. Chaque bit ajouté au préfixe divise le réseau par deux, chaque bit retiré le double. Un /23 contient exactement deux /24, un /22 en contient quatre, et ainsi de suite. Si la conversion binaire vous rebute, notre convertisseur d'adresse IP affiche instantanément la forme binaire et hexadécimale d'une adresse.

La table CIDR complète (/0 à /32)

Le tableau ci-dessous est calculé, pas recopié : chaque ligne est dérivée de la longueur de préfixe. Utilisez le champ de recherche pour retrouver une valeur précise (tapez 255.255.255.0, /26 ou même 1022) et les filtres pour n'afficher qu'une famille de préfixes.

Colonne « hôtes utilisables » : nombre total d'adresses moins l'adresse de réseau et l'adresse de diffusion, avec les deux exceptions prévues par les normes, /31 vaut 2 hôtes (RFC 3021) et /32 désigne une adresse unique.

La méthode des blocs : le nombre magique

Les administrateurs réseau expérimentés ne convertissent jamais en binaire pour découper un réseau. Ils utilisent une astuce que la plupart des tutoriels oublient de transmettre : le nombre magique.

Dans un masque, un seul octet est réellement intéressant : celui qui ne vaut ni 255 ni 0. C'est l'octet significatif. Le nombre magique est simplement 256 moins la valeur de cet octet. Il donne à la fois la taille d'un sous-réseau dans cet octet et le pas entre deux adresses de réseau successives. Les adresses de réseau sont les multiples du nombre magique ; l'adresse de diffusion est toujours celle qui précède le réseau suivant.

255.255.255.128 (/25)	256 − 128 = 128 → frontières : 0, 128
255.255.255.192 (/26)	256 − 192 = 64 → frontières : 0, 64, 128, 192
255.255.255.224 (/27)	256 − 224 = 32 → frontières : 0, 32, 64, 96, 128, 160, 192, 224
255.255.255.240 (/28)	256 − 240 = 16 → frontières : 0, 16, 32, 48, 64, 80…
255.255.255.248 (/29)	256 − 248 = 8 → frontières : 0, 8, 16, 24, 32…
255.255.255.252 (/30)	256 − 252 = 4 → frontières : 0, 4, 8, 12, 16…
255.255.252.0 (/22)	256 − 252 = 4, mais sur le troisième octet → frontières : 0, 4, 8, 12…

Exemple 1 : À quel sous-réseau appartient 192.168.1.100/26 ?

1. Traduire le préfixe en masque La table ci-dessus donne /26 = 255.255.255.192. L'octet significatif est le quatrième, il vaut 192.
2. Calculer le nombre magique 256 − 192 = 64. Les sous-réseaux commencent donc à .0, .64, .128 et .192.
3. Situer l'adresse Le dernier octet vaut 100. Le multiple de 64 immédiatement inférieur est 64. L'adresse de réseau est donc 192.168.1.64.
4. Déduire les bornes Le sous-réseau suivant commence à .128, la diffusion est donc 192.168.1.127. Les hôtes vont de 192.168.1.65 à 192.168.1.126, soit 62 adresses.

Résultat en une phrase : 192.168.1.100/26 appartient au réseau 192.168.1.64/26, dont la diffusion est 192.168.1.127. Une machine en 192.168.1.200 configurée avec le même masque se trouve, elle, dans un autre sous-réseau et ne pourra pas la joindre sans routeur.

Exemple 2 : Les bornes de 10.0.0.0/22

1. Repérer l'octet significatif /22 = 255.255.252.0. Cette fois, c'est le troisième octet qui porte l'information, avec la valeur 252.
2. Calculer le nombre magique 256 − 252 = 4. Les réseaux successifs sont 10.0.0.0, 10.0.4.0, 10.0.8.0, 10.0.12.0…
3. Établir la plage 10.0.0.0/22 couvre de 10.0.0.0 à 10.0.3.255, c'est-à-dire quatre /24 consécutifs.
4. Isoler les hôtes La diffusion est 10.0.3.255, les hôtes vont de 10.0.0.1 à 10.0.3.254, soit 1 022 adresses.

Application immédiate : l'adresse 10.0.5.37/22 n'appartient pas à ce réseau. Son troisième octet, 5, tombe entre 4 et 7 ; elle relève donc de 10.0.4.0/22. Ce genre d'erreur d'une case explique une bonne partie des tickets « je ne vois pas le serveur alors qu'il est branché ».

Pourquoi deux adresses sont perdues

Dans un sous-réseau IPv4 classique, deux adresses ne peuvent jamais être attribuées à une machine.

• L'adresse de réseau : tous les bits d'hôte à 0. Elle désigne le segment lui-même et c'est elle qui apparaît dans les tables de routage. Exemple : 192.168.10.0 pour un /24.
• L'adresse de diffusion : tous les bits d'hôte à 1. Un paquet envoyé à cette adresse est remis à toutes les machines du segment. Exemple : 192.168.10.255. C'est ce mécanisme qui permet au protocole DHCP de fonctionner avant même qu'un appareil possède une adresse.

D'où la formule 2^32−p − 2 pour les hôtes utilisables. Elle vaut jusqu'au /30 inclus (4 adresses, 2 hôtes), puis deux exceptions prennent le relais :

• Le /31 : sur une liaison point à point, il n'y a que deux extrémités : personne n'a besoin de diffuser, et l'adresse de réseau ne sert à rien. La RFC 3021 autorise donc à utiliser les 2 adresses. Cela divise par deux la consommation d'adresses publiques sur les liens opérateurs, ce qui n'est pas anecdotique en fin de vie d'IPv4.
• Le /32 : un préfixe de 32 bits ne contient plus aucun bit d'hôte. Il désigne exactement une adresse. On l'emploie pour une route hôte, une règle de pare-feu, une adresse de bouclage de routeur, ou une entrée de liste noire dans un fichier de configuration.

Découper un réseau : exemple complet

Le cas d'école le plus utile : vous disposez de 192.168.10.0/24 et vous voulez quatre sous-réseaux étanches (bureaux, Wi-Fi invités, imprimantes, objets connectés) d'environ 60 machines chacun.

1. Traduire le besoin en bits 60 hôtes exigent au moins 62 adresses utilisables, donc 64 adresses au total, donc 6 bits d'hôte. Il reste 32 − 6 = 26 bits de réseau.
2. Vérifier que le compte tombe juste Passer de /24 à /26, c'est ajouter 2 bits, donc obtenir 2² = 4 sous-réseaux. Exactement le nombre demandé.
3. Appliquer le nombre magique /26 = 255.255.255.192, donc un pas de 64 dans le dernier octet.
4. Écrire les quatre blocs Le tableau ci-dessous donne le résultat complet.

Les quatre sous-réseaux partagent le même masque 255.255.255.192. La passerelle est traditionnellement placée sur la première adresse utilisable de chaque bloc (.1, .65, .129, .193), mais rien ne l'impose : la dernière adresse utilisable convient tout aussi bien, à condition de rester cohérent. Isoler ainsi les objets connectés dans leur propre segment est l'une des mesures les plus efficaces décrites dans notre guide sur la sécurité des objets connectés.

Notez que le découpage ne change rien à l'adresse publique vue depuis Internet : ces quatre plages restent privées et sortent toutes derrière la même IP grâce au NAT. Pour bien distinguer les deux mondes, relisez la différence entre adresse IP publique et privée, et vérifiez dans notre table des adresses IP réservées qu'une plage choisie n'entre pas en conflit avec un usage normalisé.

Les erreurs classiques

La théorie est simple ; les pannes, elles, se répètent. Voici les quatre fautes rencontrées le plus souvent, et leur symptôme caractéristique.

1. Un masque différent d'un appareil à l'autre

Un poste configuré en 192.168.1.10/24 et un autre en 192.168.1.130/25 sont sur le même câble mais ne se voient pas de la même façon : le premier considère le second comme local, le second considère le premier comme distant et l'envoie à la passerelle. Symptôme typique : le ping fonctionne dans un sens et pas dans l'autre. Vérifiez toujours que tous les équipements d'un segment, passerelle comprise, portent le même masque.

2. Des plages qui se chevauchent

Le grand classique : votre réseau domestique est en 192.168.1.0/24, et le VPN de votre employeur annonce lui aussi 192.168.1.0/24. Les deux routes entrent en conflit et l'accès distant devient erratique. La parade est simple : choisissez chez vous une plage improbable, par exemple 10.73.42.0/24 ou 172.20.9.0/24, plutôt que les 192.168.0.0/24 et 192.168.1.0/24 livrés par défaut sur presque toutes les box.

3. La passerelle oubliée dans le calcul

Un /29 offre 6 hôtes utilisables. La passerelle en consomme un : il en reste 5. Sur un bloc public professionnel, l'oubli se paie cash quand il faut ajouter un serveur. Même logique côté DHCP : si la plage distribuée automatiquement recouvre les adresses fixes de vos serveurs ou de vos imprimantes, vous obtiendrez des conflits d'adresses intermittents, difficiles à diagnostiquer. Réservez une portion du sous-réseau aux adresses statiques et excluez-la explicitement du bail DHCP.

4. Un sous-réseau calculé trop juste

Dimensionner un /28 pour « 14 appareils, ça suffira » est une fausse économie : chaque téléphone, chaque enceinte, chaque ampoule connectée consomme une adresse, et une machine peut en occuper plusieurs (Wi-Fi et Ethernet, machines virtuelles, conteneurs). Un renumérotage ultérieur est bien plus coûteux qu'un bloc prévu large dès le départ. En adressage privé, l'espace ne manque pas : 10.0.0.0/8 offre plus de 16 millions d'adresses.

Et en IPv6 : la convention du /64

En IPv6, l'arithmétique change de nature. Une adresse fait 128 bits, et un simple /64 contient déjà 18 446 744 073 709 551 616 adresses : compter les hôtes n'a plus aucun sens. On ne compte plus que des sous-réseaux, c'est-à-dire des blocs /64.

Le /64 n'est pas une habitude arbitraire. L'auto-configuration sans état (SLAAC), le mécanisme par lequel un appareil se fabrique lui-même une adresse à partir de l'annonce du routeur, suppose un identifiant d'interface de 64 bits. C'est pourquoi l'architecture d'adressage IPv6 fixe cette frontière pour la quasi-totalité des adresses unicast. En pratique : ne découpez jamais un réseau local plus finement qu'un /64, sous peine de casser la découverte de voisins et l'auto-configuration. La RFC 7421 analyse en détail les raisons de ce choix.

Autre différence agréable : il n'y a pas d'adresse de diffusion en IPv6. Le broadcast a été remplacé par le multicast, et l'on ne perd donc plus deux adresses par sous-réseau. Une seule adresse par préfixe est réservée, celle dont l'identifiant d'interface est entièrement à zéro : elle sert d'adresse anycast « routeur du sous-réseau ».

Concrètement, un opérateur reçoit d'ordinaire un /32 de son registre régional, puis délègue à chaque abonné un préfixe entier par DHCPv6-PD (Prefix Delegation). En France, les box grand public reçoivent selon les offres un /56, un /60 ou, dans les cas les plus restrictifs, un unique /64 : auquel cas il devient impossible de créer un second réseau local derrière la box, par exemple pour isoler un réseau invité. Notre guide activer IPv6 chez soi explique comment lire le préfixe réellement délégué à votre connexion, et notre comparatif IPv4 et IPv6 détaille les autres différences entre les deux protocoles.

Questions fréquentes