Qu'est-ce qu'un masque de sous-réseau ? Définition et fonctionnement

Un masque de sous-réseau est un nombre de 32 bits qui accompagne chaque adresse IPv4 et sépare l'identifiant du réseau de l'identifiant de l'hôte. Concrètement, il indique à un appareil quelle portion de l'adresse désigne le réseau auquel il appartient et quelle portion désigne les machines individuelles. Sans lui, un ordinateur serait incapable de savoir si une destination est joignable directement ou si le paquet doit être confié à une passerelle.

À quoi sert un masque de sous-réseau ?

Une adresse IPv4 seule ne dit rien des limites du réseau. Deux adresses comme 192.168.1.42 et 192.168.1.130 semblent voisines, mais rien ne permet d'affirmer qu'elles partagent le même segment. Le masque comble cette lacune en découpant les 32 bits en deux zones : les bits à 1 identifient le réseau, les bits à 0 identifient l'hôte.

Prenons le cas le plus courant en France, celui de la box qui équipe la majorité des foyers. Elle distribue typiquement des adresses en 192.168.1.x avec le masque 255.255.255.0. Les trois premiers octets, soit 24 bits, désignent le réseau local. Le dernier octet reste disponible pour les appareils : ordinateurs, smartphones, objets connectés. Il reste ainsi 254 adresses utilisables, la première et la dernière de la plage étant respectivement réservées à l'adresse du réseau et au broadcast.

Les administrateurs parlent alors de réseau /24, en notation CIDR. Les deux écritures véhiculent exactement la même information, l'une étant simplement plus compacte.

Comment fonctionne l'opération ET binaire ?

Quand une machine veut émettre un paquet, elle doit d'abord répondre à une question : la destination fait-elle partie de mon sous-réseau ? Pour le déterminer, elle applique un ET logique bit à bit entre son adresse IP et son masque, puis la même opération entre l'adresse de destination et le même masque. Si les deux résultats coïncident, la cible est locale. Sinon, le paquet part vers la passerelle par défaut.

Adresse IP    192.168.1.42    11000000.10101000.00000001.00101010
Masque        255.255.255.0   11111111.11111111.11111111.00000000
ET logique    192.168.1.0     11000000.10101000.00000001.00000000

Le mécanisme est d'une simplicité désarmante. Là où le masque porte un 1, le bit de l'adresse passe tel quel. Là où il porte un 0, le résultat est forcé à 0. Cette mise à zéro isole la partie réseau. Le calcul est si peu coûteux que même les systèmes embarqués l'exécutent des millions de fois par seconde, invisiblement, à chaque trame émise.

Deux adresses appartiennent donc au même sous-réseau si, combinées au même masque, elles produisent la même adresse réseau. C'est ce test qui détermine la livraison directe au niveau 2, vers l'adresse MAC de la cible, ou le routage vers un autre réseau. Pour approfondir cette distinction, l'article sur la différence entre un routeur et un switch complète utilement ce sujet.

Notation décimale pointée ou préfixe CIDR ?

Le masque s'écrit traditionnellement en décimal pointé, quatre octets séparés par des points. Une règle s'impose : les bits à 1 doivent être contigus et alignés à gauche.

À retenir : un masque est toujours une suite continue de 1 suivie de 0. Toute valeur intermédiaire comme 255.0.255.0 est invalide et rejetée par les équipements.

Chaque masque correspond ainsi à un préfixe CIDR unique, et réciproquement.

Depuis l'abandon des classes A, B et C dans les années 1990, le CIDR (Classless Inter-Domain Routing) s'est imposé partout. Les classes fixes gaspillaient des adresses, le routage sans classe autorise des découpages sur mesure comme un /19 ou un /26. La page Wikipédia consacrée aux sous-réseaux détaille cette évolution historique.

Comment afficher son masque de sous-réseau ?

Aucun calcul n'est nécessaire pour connaître le masque actif sur une machine. Les systèmes d'exploitation l'exposent directement. Sous Windows, la commande ipconfig suffit :

C:\> ipconfig

Carte Ethernet Ethernet0 :

   Suffixe DNS propre à la connexion. . . : lan
   Adresse IPv4. . . . . . . . . . . . . .: 192.168.1.42
   Masque de sous-réseau. . . . . . . . . : 255.255.255.0
   Passerelle par défaut. . . . . . . . . : 192.168.1.1

Sous Linux, la commande ip affiche le préfixe CIDR directement collé à l'adresse :

$ ip -4 addr show dev eth0
2: eth0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc fq_codel state UP group default qlen 1000
    inet 192.168.1.42/24 brd 192.168.1.255 scope global dynamic eth0
       valid_lft 85296sec preferred_lft 85296sec

Le /24 de la sortie Linux équivaut exactement au 255.255.255.0 affiché par Windows.

Le subnetting : découper un réseau grâce au masque

Créer des sous-réseaux consiste à emprunter des bits à la partie hôte pour les ajouter à la partie réseau. En passant d'un /24 à un /26, on emprunte deux bits, ce qui produit quatre sous-réseaux de 62 hôtes utiles chacun. Cette technique, appelée VLSM (Variable Length Subnet Masking), autorise des tailles différentes au sein d'un même réseau d'entreprise.

Les bénéfices sont triples. La performance d'abord, puisque les domaines de broadcast rétrécissent. La sécurité ensuite, car l'isolation des segments limite la propagation des incidents, au même titre qu'un pare-feu. La gestion enfin, avec des périmètres plus lisibles. Dans le cloud, cette logique structure les VPC et les réseaux virtuels, où chaque sous-réseau se définit par un préfixe CIDR. Les développeurs qui configurent des environnements cloud manipulent ces préfixes quotidiennement.

Une mauvaise configuration du masque a des conséquences immédiates : machines injoignables, paquets routés inutilement, ou communication locale rompue alors que les adresses semblent correctes.

Le masque de sous-réseau dans l'écosystème réseau

Le masque ne travaille jamais seul. Il collabore avec l'adresse IP qu'il découpe, avec la table de routage qu'il alimente, avec la passerelle qui reçoit les paquets non locaux. Comprendre le masque, c'est comprendre pourquoi un paquet reste sur le réseau local ou part vers Internet.

Avec IPv6, la notation décimale pointée disparaît au profit de la simple longueur de préfixe, souvent /64 pour les réseaux locaux. Le concept reste identique, l'écriture se simplifie. Pour aller plus loin, l'article sur les adresses MAC éclaire la couche physique de la livraison locale, tandis que le guide sur le fonctionnement d'un pare-feu montre comment la segmentation par sous-réseaux s'articule avec le filtrage du trafic. Le chapitre des Wikilivres sur les masques offre par ailleurs un développement technique approfondi pour les lecteurs qui souhaitent maîtriser les calculs binaires.