En la lección anterior aprendiste que la máscara marca la frontera entre la parte de red y la parte de host de una dirección IPv4. En esta lección la máscara pasa de concepto a herramienta de cálculo: verás la operación AND con la que todo equipo decide si un destino es local o remoto, un método repetible de 5 pasos para calcular red, broadcast y rango útil de cualquier dirección, y la técnica estrella del módulo: el subnetting, es decir, partir una red en subredes más pequeñas. Es la habilidad con la que diseñaremos por fin, con números exactos, las redes de Valencia y Bilbao que llevamos usando desde el módulo 1. Nadie nace sabiendo subnetting: se aprende con método y ejemplos trabajados, y de eso va esta lección.

1. La máscara a fondo: notación decimal y notación CIDR
2. La operación AND bit a bit: cómo un equipo calcula su red
3. Método de 5 pasos: red, broadcast, rango útil y número de hosts
4. Subnetting: pedir prestados bits de host
5. El "salto" (block size) y el truco del 256
6. Caso Meridiano I: dividir 192.168.10.0/24 por VLANs
7. Caso Meridiano II: dimensionar Bilbao con un /27
8. VLSM: máscaras a medida y el plan final de Meridiano
9. Verificación práctica: ¿están dos hosts en la misma subred?

Una máscara de subred es un número de 32 bits con una regla estricta: unos contiguos por la izquierda, ceros contiguos por la derecha. Los unos cubren la parte de red; los ceros, la parte de host. No existen máscaras con unos y ceros mezclados (255.0.255.0 no es una máscara válida).

Dos notaciones para lo mismo:

• Decimal punteada: 255.255.255.0 (la que muestra ipconfig en Windows).
• CIDR o prefijo: /24 = "24 bits a uno" (la que muestra ip addr en Linux y la que se usa al diseñar).

Como los unos rellenan desde la izquierda, un octeto de máscara solo puede valer uno de estos nueve valores (la tabla que memorizaste en 05-01): 0, 128, 192, 224, 240, 248, 252, 254, 255. Tabla completa de prefijos habituales:

¿Por qué 2^h − 2? Con h bits de host hay 2^h combinaciones, pero dos están reservadas (lección 05-01): todo ceros (dirección de red) y todo unos (broadcast). En un /24: 2⁸ − 2 = 254 hosts. En un /30: 2² − 2 = 2 hosts — justo lo que necesita un enlace punto a punto entre dos routers.

Cuando el PC de Marta quiere enviar un paquete, lo primero que decide es: ¿el destino está en mi red (entrego directo por Ethernet) o fuera (se lo paso al gateway)? — la decisión de la tabla de rutas del módulo 4. El cálculo subyacente es una AND bit a bit entre dirección y máscara: bit a bit, 1 AND 1 = 1 y cualquier otra combinación da 0. El efecto práctico: donde la máscara tiene unos, la dirección se copia; donde tiene ceros, se borra a cero. El resultado es la dirección de red.

Cálculo trabajado con la IP de Marta:

Marta hace el mismo AND con la dirección destino y compara:

• Destino servidor de ficheros 192.168.10.10: AND /24 → 192.168.10.0. Coincide con su red → entrega local (ARP + trama Ethernet directa, módulo 2).
• Destino PC de Jon 192.168.20.7: AND /24 → 192.168.20.0. No coincide → el paquete va al gateway 192.168.10.1 (y de ahí, por la VPN, a Bilbao).

Con máscaras alineadas al octeto (/8, /16, /24) el AND es trivial a ojo. La cosa se pone interesante cuando la frontera cae dentro de un octeto. Ejemplo: 192.168.10.140 con máscara /26 (255.255.255.192). Los tres primeros octetos se copian tal cual (máscara 255); trabajamos solo el cuarto:

Fíjate: 192.168.10.140/26 no está en la red 192.168.10.0. Esta es la idea que rompe la intuición del principiante ("empiezan igual, luego misma red") y la razón de ser del método que viene ahora.

Método repetible para cualquier pareja dirección/máscara. Ejemplo guía: 192.168.10.140/26.

Segundo ejemplo completo, con la frontera en el tercer octeto: 172.16.35.123/20 (máscara 255.255.240.0).

Practica este método hasta que los cinco pasos te salgan sin mirar. Todo el subnetting descansa sobre él.

Subnetting es dividir una red en varias subredes más pequeñas tomando prestados bits de la parte de host y dándoselos a la parte de red. Cada bit prestado duplica el número de subredes y (aproximadamente) reduce a la mitad los hosts de cada una:

Tabla de referencia al partir un /24:

El diseño siempre responde a dos preguntas: ¿cuántas subredes necesito? y ¿cuántos hosts en la mayor de ellas? Se elige el prefijo que satisface ambas (y si no se puede, se necesita una red de partida mayor o VLSM, que veremos al final).

La última columna de la tabla anterior es el salto (block size): cada cuánto empieza una subred nueva en el octeto "interesante" (aquel donde la máscara no es ni 255 ni 0). Se calcula con un truco que evita el binario:

Ejemplos:

• Máscara 255.255.255.192 (/26) → salto = 256 − 192 = 64 → subredes en .0, .64, .128, .192.
• Máscara 255.255.255.224 (/27) → salto = 256 − 224 = 32 → subredes en .0, .32, .64, .96, .128, .160, .192, .224.
• Máscara 255.255.240.0 (/20) → octeto interesante es el tercero: salto = 256 − 240 = 16 → subredes en x.y.0.0, x.y.16.0, x.y.32.0, …

Con el salto, el paso 3 del método se hace de cabeza: la red de una dirección es el múltiplo del salto inmediatamente inferior o igual al octeto interesante. Para 192.168.10.140/26: múltiplos de 64 → 0, 64, 128, 192; el inferior o igual a 140 es 128 → red .128, broadcast .191 (siguiente múltiplo menos 1). Mismo resultado que el AND, sin tocar el binario. Usa el AND para entender; usa el salto para ir rápido.

Contexto acumulado del curso: en Valencia el switch tiene una VLAN 10 corporativa y una VLAN 20 de invitados (módulo 3), y cada VLAN debe ser su propia subred IP para que el router pueda enrutar entre ellas. El equipo de TI decide además separar los servidores (ficheros/intranet .10.10, impresora) en su propia subred para poder aplicarles reglas distintas.

Requisitos:

• 3 subredes (corporativa, invitados, servidores) + margen para el futuro → al menos 4.
• La mayor (corporativa) debe alojar ~20 equipos + AP + margen de crecimiento → 62 hosts sobran.

Decisión: /26 (2 bits prestados → 4 subredes de 62 hosts, salto 64). Cálculo de las 4 subredes:

Asignación:

Dos observaciones importantes de este ejercicio de diseño:

• El plan actual de Meridiano (todo en un /24 plano con rango DHCP .100–.199) deja de ser válido tal cual: .100–.199 cruza las fronteras .127 y .128. Rediseñar subredes implica rediseñar DHCP, reservas y direcciones estáticas. En redes reales, este es el coste de subnetear tarde.
• Cada subred consume 2 direcciones en red/broadcast y 1 en el gateway. Al dimensionar, cuenta siempre gateway incluido.

Bilbao tiene 5 personas, un router, una impresora y crecimiento previsto moderado. Un /24 entero (254 hosts) es un desperdicio ordenado — funciona, pero un ejercicio de dimensionamiento fino diría:

Y quedarían libres, dentro del antiguo /24 de Bilbao, los bloques .32/27, .64/27, … .224/27 para futuros usos (una VLAN de invitados en la sucursal, por ejemplo). La lección de diseño: la dirección de Jon no cambia, pero su máscara sí (de 255.255.255.0 a 255.255.255.224) — y como verás en el último apartado, mezclar equipos con máscaras distintas es receta para averías fantasma.

En los ejemplos anteriores todas las subredes eran del mismo tamaño (subnetting de longitud fija). Pero invitados no necesita 62 hosts, ni servidores tampoco. VLSM (Variable Length Subnet Mask) permite usar prefijos distintos en cada subred, asignando bloques de mayor a menor sobre el espacio libre. Es la aplicación natural de CIDR al diseño interno.

Plan final de Meridiano con VLSM sobre 192.168.10.0/24 (Valencia) y 192.168.20.0/24 (Bilbao):

Reglas de oro de VLSM: asignar primero los bloques grandes, empezar cada bloque en un múltiplo de su propio salto, y documentarlo todo (una hoja de cálculo con red/broadcast/uso evita el 90 % de los solapes). No profundizamos más: para una pyme como Meridiano, este nivel de VLSM es exactamente el que se usa en la práctica.

Pregunta cotidiana de soporte: "el equipo A no ve al equipo B, ¿están siquiera en la misma subred?". Procedimiento:

1. Obtener dirección y máscara de ambos: ipconfig (Windows) o ip addr (Linux), comandos que ya conoces de los módulos 2 y 4. En ip addr la máscara viene en CIDR: inet 192.168.10.21/24.
2. Calcular la red de cada uno (AND o truco del salto) con su propia máscara.
3. Si ambas redes coinciden y ambas máscaras coinciden → misma subred: deberían hablar directo.

El caso clásico que justifica el paso 3: misma red aparente, distinta máscara. Un técnico instala un NAS en Valencia y teclea la máscara de memoria:

Consecuencia asimétrica y desconcertante:

• Marta calcula: 140 AND /24 → 192.168.10.0 = mi red → envía directo al NAS. El paquete llega.
• El NAS calcula la respuesta: 21 AND /25 → 192.168.10.0 ≠ mi red (la suya es .128) → envía la respuesta al gateway. Según cómo esté el router (¿reenvía y avisa con ICMP redirect? ¿filtra?), la conexión funciona a medias, va lenta o falla solo en un sentido.

Síntoma típico: "el NAS responde al ping desde unos equipos sí y desde otros no". Diagnóstico: comparar máscaras, no solo direcciones. La máscara debe ser idéntica en todos los equipos de una misma subred.

• Olvidar el −2. 2^h son combinaciones; hosts útiles son 2^h − 2 (red y broadcast). En un /30 solo caben 2 equipos, no 4.
• Asumir la red mirando solo los octetos. 192.168.10.140/26 no está en 192.168.10.0. Con prefijos que no acaban en frontera de octeto, calcula siempre (AND o salto).
• Olvidar que el gateway consume una dirección del rango útil al dimensionar.
• Cruzar fronteras de subred con el rango DHCP (como le pasaría al .100–.199 de Meridiano al pasar a /26). Tras subnetear, revisa DHCP, reservas y estáticas.
• Máscaras distintas en la misma subred: el error del NAS. Produce fallos asimétricos difíciles de ver; verifica con ipconfig/ip addr en ambos extremos.
• Empezar un bloque VLSM en un octeto que no es múltiplo de su salto (una /27 que empiece en .40 es inválida: las /27 empiezan en múltiplos de 32).
• Consejo de examen y de vida real: escribe siempre los 5 pasos. Treinta segundos de método evitan una hora de depuración.
• Consejo: el truco 256 − máscara + múltiplos del salto resuelve el 95 % de los cálculos sin binario. Reserva el binario para verificar cuando dudes.

El servidor de monitorización de un cliente de Meridiano tiene la dirección 172.16.35.123 con máscara 255.255.240.0. Calcula, desarrollando los 5 pasos: bits de host, hosts útiles, dirección de red, broadcast y rango útil. ¿Está 172.16.40.200 en su misma subred?

Meridiano abre una tercera sede en Sevilla y le asigna 192.168.30.0/24. Necesita 6 subredes (corporativa, invitados, servidores, VoIP, gestión y reserva), todas del mismo tamaño. a) ¿Qué prefijo necesita y cuántos hosts tendrá cada subred? b) Lista las cuatro primeras subredes con su red, rango útil y broadcast. c) ¿A qué subred pertenecería el host 192.168.30.77?

Dos servidores de un centro de datos: A = 10.0.5.20/22 y B = 10.0.6.200/22. ¿Están en la misma subred? Desarrolla el cálculo de la red de cada uno.

Solución 1

172.16.40.200: su tercer octeto es 40, y 32 ≤ 40 ≤ 47, dentro del bloque 32–47. Su red con /20 es también 172.16.32.0 → sí, misma subred.

Solución 2

a) Para ≥ 6 subredes hay que prestar bits: 2 bits → 4 subredes (insuficiente); 3 bits → 8 subredes ✔. Prefijo /24 + 3 = /27 (máscara 255.255.255.224). Hosts por subred: h = 5 → 2^5 − 2 = 30.

b) Salto = 256 − 224 = 32:

c) 192.168.30.77: múltiplos de 32 → el ≤ 77 es 64. Pertenece a la subred 3 (192.168.30.64/27), cuyo rango .65–.94 la contiene como host válido.

Solución 3

Máscara /22 = 255.255.252.0. Octeto interesante: el 3º. Salto = 256 − 252 = 4 → las subredes empiezan en tercer octeto 0, 4, 8, … múltiplos de 4.

Misma red (10.0.4.0/22) y misma máscara → sí, están en la misma subred y se comunican sin pasar por el router, aunque sus terceros octetos (5 y 6) sean distintos. Buen ejemplo de por qué "los tres primeros octetos iguales" no es el criterio: el criterio es el AND con la máscara.

Ya dominas la mecánica completa del direccionamiento: la máscara en sus dos notaciones, el AND bit a bit con el que cada equipo decide entre entrega local y gateway, el método de 5 pasos (bits de host → 2^h − 2 → red → broadcast → rango), el subnetting prestando bits con su tabla de /24 a /30, el truco del salto 256 − máscara, y VLSM para ajustar cada subred a su tamaño real — todo aplicado al plan de Valencia por VLANs y al /27 de Bilbao. Y sabes verificar sobre el terreno si dos hosts comparten subred, incluida la trampa de las máscaras desiguales.

Queda una pregunta abierta desde la lección 05-01: las direcciones de Meridiano son privadas y los routers de Internet las descartan… y sin embargo Marta navega, consulta APIs públicas y descarga actualizaciones cada día. El mecanismo que hace ese truco de magia — reescribir direcciones en el router de salida — es la próxima lección: NAT y Direccionamiento Privado.