Ogni dispositivo connesso su una rete locale (LAN) o su una rete geografica (WAN) richiede un indirizzo Internet Protocol (IP) per inviare e ricevere pacchetti. Tuttavia, l'assegnazione di migliaia di dispositivi a una singola rete non gestita crea una grave congestione di trasmissione, vulnerabilità di sicurezza e inefficienze di instradamento. La mascheratura di sottorete risolve questa sfida dividendo le grandi reti IP in sottoreti più piccole e logicamente isolate, note come subnet.
Punti chiave: subnet masking
- Divisione binaria della maschera di rete: Una maschera di sottorete a 32 bit divide gli indirizzi IPv4 in identificatori di rete (1 binari) e identificatori di host (0 binari).
- Flessibilità CIDR: Il Classless Inter-Domain Routing (CIDR) ha sostituito i rigidi blocchi di indirizzi di Classe A, B e C con lunghezze di prefisso variabili (da /8 a /30).
- Dimensionamento WiFi guest aziendale: Le sedi ad alto traffico richiedono sottoreti /22 (1.022 host utilizzabili) con tempi di lease DHCP brevi di 30 minuti per prevenire l'esaurimento del pool IP causato dalla randomizzazione dei MAC address.
- Sicurezza tramite isolamento: Segregare il WiFi guest, i dispositivi aziendali e l'hardware IoT su sottoreti distinte con isolamento di Layer 2 impedisce la scansione laterale non autorizzata.
- Efficienza del tempo di trasmissione (airtime): La divisione di domini di broadcast di grandi dimensioni limita i flood di Address Resolution Protocol (ARP), preservando lo spettro wireless per il traffico client attivo.
Che cos'è una subnet mask e come funziona?
Un indirizzo IPv4 è composto da 32 bit suddivisi in quattro byte da 8 bit (ottetti), espressi nel formato decimale separato da punti (come 192.168.1.50). Per instradare correttamente i pacchetti di dati, gli switch di rete e i router devono distinguere tra due parti di questo indirizzo:
- Identificativo di rete (Network ID): specifica la sottorete specifica a cui appartiene il dispositivo.
- Identificativo host (Host ID): identifica il singolo endpoint (come un laptop, uno smartphone, un access point o una stampante) su quella sottorete.
Una subnet mask è un filtro complementare a 32 bit che indica al router dove termina l'identificativo di rete e dove inizia l'identificativo host. In formato binario, una subnet mask utilizza bit 1 contigui per la porzione di rete e bit 0 contigui per la porzione host.
Quando un dispositivo tenta di trasmettere un pacchetto, il suo sistema operativo esegue un'operazione AND bit a bit tra l'indirizzo IP di destinazione e la sua maschera di sottorete locale. Se l'indirizzo di rete risultante corrisponde all'ID della rete locale, il pacchetto viene consegnato direttamente tramite lo switch locale. Se gli ID di rete differiscono, il pacchetto viene inoltrato al router del gateway predefinito per l'instradamento inter-VLAN o WAN.
Reti classful vs CIDR (Classless Inter-Domain Routing)
Quando l'IPv4 è stato introdotto nel 1981 con la specifica RFC 791, gli indirizzi erano suddivisi in classi rigide a lunghezza fissa:
- Classe A (da 1.0.0.0 a 126.0.0.0): Maschera di sottorete
255.0.0.0(prefisso /8). Riservata a grandi organizzazioni multinazionali, fornisce 16.777.214 host per rete. - Classe B (da 128.0.0.0 a 191.255.0.0): Maschera di sottorete
255.255.0.0(prefisso /16). Fornisce 65.534 host per rete. - Classe C (da 192.0.0.0 a 223.255.255.0): Maschera di sottorete
255.255.255.0(prefisso /24). Fornisce solo 254 host utilizzabili per rete.
L'assegnazione di tipo classful si è rivelata altamente inefficiente. Un'azienda che necessitava di 500 indirizzi IP era costretta a richiedere una rete di Classe B, sprecando più di 65.000 indirizzi non assegnati. Nel 1993, l'Internet Engineering Task Force (IETF) ha introdotto il CIDR (RFC 1519), consentendo agli amministratori di rete di creare sottoreti a lunghezza variabile utilizzando la notazione con barra (come 10.0.0.0/22).
Tabella di riferimento completa CIDR e subnet mask IPv4
La seguente tabella di riferimento descrive in dettaglio la subnet mask, la wildcard mask e la capacità di host utilizzabili per le allocazioni standard delle subnet IPv4 aziendali:
| Prefisso CIDR | Subnet mask | Wildcard mask | Host utilizzabili | Caso d'uso aziendale primario |
|---|---|---|---|---|
| /16 | 255.255.0.0 | 0.0.255.255 | 65,534 | Dorsale centrale aziendale / Blocco di aggregazione WAN |
| /20 | 255.255.240.0 | 0.0.15.255 | 4,094 | Grande stadio, terminal aeroportuale o pool per ospiti universitari |
| /21 | 255.255.248.0 | 0.0.7.255 | 2,046 | Centro commerciale regionale o grande resort alberghiero |
| /22 | 255.255.252.0 | 0.0.3.255 | 1,022 | WiFi ospiti aziendale standard (impostazione predefinita consigliata) |
| /23 | 255.255.254.0 | 0.0.1.255 | 510 | Ristorante di medie dimensioni, bar o filiale aziendale |
| /24 | 255.255.255.0 | 0.0.0.255 | 254 | VLAN aziendale 802.1X per il personale o singolo piano ufficio |
| /26 | 255.255.255.192 | 0.0.0.63 | 62 | Sistemi di gestione degli edifici (BMS) / sensori IoT |
| /28 | 255.255.255.240 | 0.0.0.15 | 14 | Appartamento privato / rete ad area personale iPSK |
| /30 | 255.255.255.252 | 0.0.0.3 | 2 | Interfacce di uplink router point-to-point |
Esempio pratico: calcolo di una sottorete /22 per il WiFi guest
Per capire come funzionano le subnet mask nell'aritmetica binaria, consideriamo un team di ingegneri di rete aziendali che configura uno scope guest WiFi utilizzando il blocco di rete 10.100.0.0/22:
- Convertire il prefisso in maschera binaria: Un prefisso /22 indica che i primi 22 bit sono impostati su
1e i restanti 10 bit sono impostati su0:11111111.11111111.11111100.00000000 - Convertire gli ottetti binari in decimale:
Ottetto 1:11111111= 255
Ottetto 2:11111111= 255
Ottetto 3:11111100= 252 (128 + 64 + 32 + 16 + 8 + 4)
Ottetto 4:00000000= 0
Maschera di sottorete risultante:255.255.252.0 - Calcolare gli host totali e utilizzabili:
Indirizzi IP totali = 2(32 - 22) = 210 = 1.024
Indirizzi host utilizzabili = 1.024 - 2 = 1.022 (sottraendo l'ID di rete10.100.0.0e l'indirizzo di broadcast10.100.3.255). - Definire l'intervallo IP utilizzabile: da
10.100.0.1a10.100.3.254.
Progettazione delle subnet WiFi aziendali: prevenire l'esaurimento del pool DHCP
I progettisti di rete che configurano le LAN aziendali cablate in genere assegnano subnet /24 standard (254 indirizzi) a ciascun dipartimento, ipotizzando che i dispositivi rimangano connessi per settimane. L'applicazione di questa stessa logica alle reti pubbliche e di guest WiFi causa gravi interruzioni operative.
I luoghi pubblici registrano un elevato ricambio di visitatori. Inoltre, i moderni smartphone (iOS 14+, Android 10+ e Windows 11) utilizzano la randomizzazione dell'indirizzo MAC privato, generando nuovi indirizzi hardware virtuali quando si riconnettono o effettuano il roaming tra le reti. Un centro commerciale o un hotel con 400 visitatori simultanei può facilmente consumare oltre 1.500 lease DHCP nell'arco di 12 ore.
Se la VLAN guest è limitata a una subnet /24 (254 host) con un lease DHCP predefinito di 24 ore, il pool di indirizzi si esaurirà nel giro di due ore. Di conseguenza, gli ospiti successivi riscontreranno errori di connessione, timeout delle API ed errori di caricamento del Captive Portal.
Tre regole per l'architettura delle subnet guest WiFi
- Distribuire sottoreti /22 o /21: Configurare almeno 1.022 (/22) o 2.046 (/21) indirizzi IP utilizzabili per SSID ospiti ad alta densità, in modo da assorbire il picco di ricambio giornaliero.
- Impostare tempi di lease DHCP brevi: Impostare la durata del lease DHCP per gli ospiti tra 30 e 60 minuti. Quando un visitatore lascia la struttura, l'indirizzo IP assegnato ritorna rapidamente nel pool disponibile.
- Abilitare l'isolamento dei client Layer 2 e il proxy ARP: Sebbene una sottorete /22 crei un dominio di trasmissione più ampio, i controller wireless aziendali eliminano il sovraccarico di trasmissione abilitando l'isolamento dei client wireless. Gli access point bloccano il traffico di trasmissione da client a client e rispondono alle richieste ARP direttamente dalle tabelle di cache del controller, proteggendo il tempo di trasmissione wireless.
Automatizzare la segmentazione della rete e il controllo degli accessi con Purple
I moderni ambienti aziendali richiedono limiti di sicurezza granulari tra i visitatori guest, il personale aziendale e i sistemi IoT automatizzati dell'edificio:
- Gestione Captive Portal per WiFi ospiti: Purple Guest WiFi si integra direttamente con l'hardware aziendale (Cisco Meraki, Aruba, Ruckus, Juniper Mist) per offrire onboarding personalizzato con il proprio brand, login social e limitazione automatica della larghezza di banda sulle sottoreti degli ospiti.
- Accesso del personale 802.1X senza password: Purple si integra con Microsoft Entra ID, Okta e Google Workspace per fornire profili WPA3-Enterprise basati su certificati, assegnando dinamicamente i dispositivi del personale a VLAN aziendali private.
- Isolamento residenziale multi-tenant: Nel settore Build-to-Rent (BTR) e negli alloggi per studenti, Purple utilizza chiavi precondivise identificative (iPSK) per assegnare a ciascun residente una sottorete personale /28 isolata, garantendo che i dispositivi IoT personali (stampanti, smart TV) rimangano invisibili alle unità vicine.
Per ulteriori dettagli sulla sicurezza dei confini wireless, consulta la nostra Enterprise WiFi Security Guide completa o testa le tue configurazioni utilizzando il nostro Subnet Calculator tool gratuito.
