Chaque appareil connecté sur un réseau local (LAN) ou un réseau étendu (WAN) nécessite une adresse de protocole Internet (IP) pour envoyer et recevoir des paquets. Cependant, attribuer des milliers d'appareils à un seul réseau non géré crée une forte congestion de diffusion, des vulnérabilités de sécurité et des inefficacités de routage. Le masquage de sous-réseau résout ce problème en divisant les grands réseaux IP en sous-réseaux plus petits et logiquement isolés.
Points clés à retenir - masques de sous-réseau
- Division par masque de bits binaire : un masque de sous-réseau de 32 bits sépare les adresses IPv4 en identifiants réseau (1 binaires) et identifiants d'hôte (0 binaires).
- Flexibilité du CIDR : le Classless Inter-Domain Routing (CIDR) a remplacé les blocs d'adresses rigides des classes A, B et C par des longueurs de préfixe variables (/8 à /30).
- Dimensionnement du WiFi invité pour les entreprises : les sites à fort trafic nécessitent des sous-réseaux /22 (1 022 hôtes utilisables) avec des baux DHCP courts de 30 minutes pour éviter l'épuisement du pool d'adresses IP causé par la randomisation MAC.
- Sécurité grâce à l'isolation : segmenter le WiFi invité, les appareils d'entreprise et les équipements IoT sur des sous-réseaux distincts avec une isolation de niveau 2 (Layer 2) empêche tout balayage latéral non autorisé.
- Efficacité du temps d'antenne : diviser de grands domaines de diffusion restreint les flux d'Address Resolution Protocol (ARP), préservant ainsi le spectre sans fil pour le trafic des clients actifs.
Qu'est-ce qu'un masque de sous-réseau et comment fonctionne-t-il ?
Une adresse IPv4 se compose de 32 bits répartis en quatre octets de 8 bits, représentés sous un format décimal à points (comme 192.168.1.50). Pour acheminer correctement les paquets de données, les commutateurs et routeurs réseau doivent distinguer deux parties de cette adresse :
- Identifiant de réseau (Network ID) : spécifie le sous-réseau spécifique auquel appartient l'appareil.
- Identifiant d'hôte (Host ID) : identifie le terminal individuel (tel qu'un ordinateur portable, un smartphone, un point d'accès ou une imprimante) sur ce sous-réseau.
Un masque de sous-réseau est un filtre compagnon de 32 bits qui indique au routeur où se termine l'identifiant de réseau et où commence l'identifiant d'hôte. En binaire, un masque de sous-réseau utilise des 1 contigus pour les bits de réseau et des 0 contigus pour les bits d'hôte.
Lorsqu'un appareil tente de transmettre un paquet, son système d'exploitation effectue une opération logique ET (AND) entre l'adresse IP de destination et son masque de sous-réseau local. Si l'adresse réseau résultante correspond à l'identifiant du réseau local, le paquet est distribué directement via le commutateur local. Si les identifiants réseau diffèrent, le paquet est transféré au routeur de la passerelle par défaut pour un routage inter-VLAN ou WAN.
Réseau par classe vs CIDR (Classless Inter-Domain Routing)
Lors de l'introduction de l'IPv4 en 1981 sous la RFC 791, les adresses étaient divisées en classes rigides et de longueur fixe :
- Classe A (1.0.0.0 à 126.0.0.0) : masque de sous-réseau
255.0.0.0(préfixe /8). Réservé aux très grandes multinationales, offrant 16 777 214 hôtes par réseau. - Classe B (128.0.0.0 à 191.255.0.0) : masque de sous-réseau
255.255.0.0(préfixe /16). Offrait 65 534 hôtes par réseau. - Classe C (192.0.0.0 à 223.255.255.0) : masque de sous-réseau
255.255.255.0(préfixe /24). N'offrait que 254 hôtes utilisables par réseau.
L'attribution par classe s'est avérée très inefficace. Une entreprise nécessitant 500 adresses IP était contrainte de demander un réseau de classe B, gaspillant ainsi plus de 65 000 adresses non attribuées. En 1993, l'Internet Engineering Task Force (IETF) a introduit le CIDR (RFC 1519), permettant aux administrateurs réseau de créer des sous-réseaux de longueur variable à l'aide de la notation CIDR (comme 10.0.0.0/22).
Table de référence complète des CIDR et masques de sous-réseau IPv4
Le tableau de correspondance suivant détaille le masque de sous-réseau, le masque générique (wildcard mask) et la capacité d'hôtes utilisables pour les allocations de sous-réseau IPv4 standard d'entreprise :
| Préfixe CIDR | Masque de sous-réseau | Masque générique (wildcard) | Hôtes utilisables | Cas d'usage entreprise principal |
|---|---|---|---|---|
| /16 | 255.255.0.0 | 0.0.255.255 | 65 534 | Réseau central d'entreprise / Bloc d'agrégation WAN |
| /20 | 255.255.240.0 | 0.0.15.255 | 4 094 | Grand stade, terminal d'aéroport ou parc d'invités universitaire |
| /21 | 255.255.248.0 | 0.0.7.255 | 2 046 | Centre commercial régional ou grand complexe hôtelier |
| /22 | 255.255.252.0 | 0.0.3.255 | 1 022 | WiFi invité standard d'entreprise (recommandé par défaut) |
| /23 | 255.255.254.0 | 0.0.1.255 | 510 | Restaurant de taille moyenne, bar ou succursale d'entreprise |
| /24 | 255.255.255.0 | 0.0.0.255 | 254 | VLAN d'entreprise 802.1X pour le personnel ou étage de bureau unique |
| /26 | 255.255.255.192 | 0.0.0.63 | 62 | Systèmes de gestion technique du bâtiment (GTB) / capteurs IoT |
| /28 | 255.255.255.240 | 0.0.0.15 | 14 | Appartement résidentiel privé / réseau personnel iPSK |
| /30 | 255.255.255.252 | 0.0.0.3 | 2 | Interfaces de liaison montante de routeur point à point |
Exemple concret : calcul d'un sous-réseau /22 pour le WiFi invité
Pour comprendre le fonctionnement des masques de sous-réseau en arithmétique binaire, prenons l'exemple d'une équipe réseau d'entreprise configurant un espace de guest WiFi à l'aide du bloc réseau 10.100.0.0/22 :
- Convertir le préfixe en masque binaire : un préfixe /22 signifie que les 22 premiers bits sont définis sur
1et les 10 bits restants sur0:11111111.11111111.11111100.00000000 - Convertir les octets binaires en décimal :
Octet 1 :11111111= 255
Octet 2 :11111111= 255
Octet 3 :11111100= 252 (128 + 64 + 32 + 16 + 8 + 4)
Octet 4 :00000000= 0
Masque de sous-réseau obtenu :255.255.252.0 - Calculer le nombre total d'hôtes et d'hôtes utilisables :
Total des adresses IP = 2(32 - 22) = 210 = 1 024
Adresses d'hôtes utilisables = 1 024 - 2 = 1 022 (en soustrayant l'ID réseau10.100.0.0et l'adresse de diffusion10.100.3.255). - Définir la plage d'adresses IP utilisables : de
10.100.0.1à10.100.3.254.
Conception de sous-réseau WiFi d'entreprise : prévenir l'épuisement du pool DHCP
Les ingénieurs réseau qui conçoivent des LAN d'entreprise câblés attribuent généralement des sous-réseaux /24 standards (254 adresses) à chaque service, en supposant que les appareils restent connectés pendant des semaines. L'application de cette même logique aux réseaux publics et de guest WiFi entraîne de graves pannes opérationnelles.
Les lieux publics connaissent un taux de rotation élevé des visiteurs. De plus, les smartphones modernes (iOS 14+, Android 10+ et Windows 11) utilisent la randomisation des adresses MAC privées, générant de nouvelles adresses matérielles virtuelles lors de la reconnexion ou de l'itinérance entre les réseaux. Un centre commercial ou un hôtel accueillant 400 visiteurs simultanés peut facilement consommer plus de 1 500 baux DHCP sur une période de 12 heures.
Si le VLAN invité est limité à un sous-réseau /24 (254 hôtes) avec un bail DHCP par défaut de 24 heures, le pool d'adresses sera épuisé en deux heures. Les invités suivants rencontreront des échecs de connexion, des expirations de délai d'attente API et des erreurs de chargement de Captive Portal.
Trois règles pour l'architecture de sous-réseau guest WiFi
- Déployer des sous-réseaux /22 ou /21 : Prévoyez au moins 1 022 (/22) ou 2 046 (/21) adresses IP utilisables pour les SSID invités à haute densité afin d'absorber les pics de rotation quotidienne.
- Appliquer des durées de bail DHCP courtes : Définissez la durée des baux DHCP invités entre 30 et 60 minutes. Lorsqu'un visiteur quitte l'établissement, l'adresse IP qui lui était attribuée retourne rapidement dans le pool d'adresses disponibles.
- Activer l'isolation des clients de niveau 2 et le proxy ARP : Bien qu'un sous-réseau /22 crée un domaine de diffusion plus large, les contrôleurs sans fil d'entreprise éliminent la surcharge de diffusion en activant l'isolation des clients sans fil. Les points d'accès rejettent le trafic de diffusion de client à client et répondent aux requêtes ARP directement à partir des tables de cache du contrôleur, protégeant ainsi le temps d'antenne sans fil.
Automatiser la segmentation du réseau et le contrôle d'accès avec Purple
Les environnements d'entreprise modernes exigent des limites de sécurité granulaires entre les visiteurs invités, le personnel de l'entreprise et les systèmes de bâtiment automatisés IoT :
- Gestion captive du WiFi invité : Purple Guest WiFi s'intègre directement au matériel d'entreprise (Cisco Meraki, Aruba, Ruckus, Juniper Mist) pour offrir un portail d'accès personnalisé aux couleurs de votre marque, des connexions via les réseaux sociaux et une limitation automatisée de la bande passante sur les sous-réseaux invités.
- Accès du personnel en 802.1X sans mot de passe : Purple s'intègre à Microsoft Entra ID, Okta et Google Workspace pour déployer des profils WPA3-Enterprise basés sur des certificats, attribuant de manière dynamique les appareils du personnel à des VLAN d'entreprise privés.
- Isolation résidentielle multi-locataires : Dans le secteur du logement locatif construit pour la location (BTR) et les résidences étudiantes, Purple utilise des clés pré-partagées basées sur l'identité (iPSK) pour attribuer à chaque résident un sous-réseau personnel /28 isolé, garantissant que les appareils IoT personnels (imprimantes, téléviseurs connectés) restent invisibles pour les logements voisins.
Pour plus de détails sur la sécurisation des limites sans fil, explorez notre Enterprise WiFi Security Guide complet ou testez vos configurations à l'aide de notre outil gratuit Subnet Calculator tool.
