IPv4地址分类与子网掩码详解：从ABC类到CIDR实战规划

聊到IPv4地址，最容易卡住的就是三件事：A类、B类、C类到底怎么分的？子网掩码255.255.255.0为什么长这样？同样是办公室电脑，300台到底该用/24还是/23？很多人能背出A类是1.x、B类是128.x，可真到自己规划VLAN网段、写DHCP地址池、配三层交换机网关时，照样容易懵。这篇连载第十二篇就把“地址分类”和“子网划分”这两件事彻底拆开讲清楚。

先给一个原则：理解分类机制不是为了以后真去用A类那种巨型网段，而是为了理解后续CIDR、VLSM这些真正在用的实操工具。所以这篇不会扔一张表让你背，而是把每一条规则背后的二进制逻辑讲透，每个结论都带计算过程。

1. 地址分类从哪来：有类寻址的“首比特位”设计逻辑

1.1 只看最前面几个二进制位就能判断类别

IPv4地址本质上是32位二进制数，但在1980年代设计时有一个很实际的问题：一台设备收到一个IP地址后，怎么快速判断“这是一个巨大网络的地址还是一个很小网络的地址”？当时的方案很粗暴高效——看地址最前面的二进制位。

规则非常简单：

• 第一位是0，就是A类地址；
• 前两位是10，就是B类地址；
• 前三位是110，就是C类地址；
• 前四位是1110，就是D类组播地址；
• 前四位是1111，就是E类保留地址。

这个设计的精妙之处在于，路由器收到一个地址，根本不需要拿到完整的32位再去查表，只要看一眼第一个八位组的前几位，马上就知道该用多大的掩码去识别网络部分。这种“一个有类别名就能决定网络边界”的思路，就是后来“有类寻址”这个说法的来源。

用生活里的事打个比方：一个写字楼的门牌号，如果看到房间号是101，你就知道是1楼01室；看到2001就知道是20楼01室。楼层号就相当于网络位，房间号相当于主机位。而ABC类就是规定“你到底用几位当成楼层号”。

1.2 ABC三类大网段的取值边界是怎么算出来的

既然第一位决定类别，那取值范围就可以从头算出来，而不是死记硬背。

A类地址第一位固定为0，所以第一个八位组的二进制范围是00000000到01111111，换算成十进制就是0到127。但0.0.0.0在语义上被用作“未知地址”或“默认路由”，127.0.0.0/8则被保留给回环地址，所以真正能分配给组织使用的A类地址只有1.0.0.0到126.255.255.255。换句话说，全球A类网段一共只有126个。

每个A类网段拥有24位主机位，能容纳的主机数量是2的24次方减2，也就是16777214台。放到今天看，这完全是个夸张的数字——一个广播域里塞1600多万台设备，任何二层网络都不可能正常工作。但在当年大型机时代，这确实解决了不少问题。

B类地址前两位固定为10，第一个八位组范围就是10000000（128）到10111111（191）。B类网段数量是2的14次方，也就是16384个，每个网段有16位主机位，可用主机数是65534台。

C类地址前三位固定为110，第一个八位组范围是11000000（192）到11011111（223）。C类网段数量是2的21次方，约209万个，每个网段只有8位主机位，可用主机数是254台，也是单位里最常见的段。

三个类别的关键参数可以归纳成下面这张对照表：

1.3 容易被忽略的特殊地址段：回环、私有、链路本地

分类表只是骨架，真正在排错的时候，特殊地址段反而更常遇到。

127.0.0.0/8整段都被保留给回环地址，其中最出名的是127.0.0.1。它代表“本机自己”，不占任何物理网卡。配置网络服务时用来测试本机进程是否正常监听，是第一步排查手段。如果在某台Linux服务器上ping 127.0.0.1通但ping别的主机不通，问题大概率出在网卡驱动或链路层。

私有地址段也是分类机制里预留的一部分，RFC 1918规定了几段不会被分配到互联网上、专门用于内部网络的地址：

• 10.0.0.0/8，对应A类，可用地址极多；
• 172.16.0.0/12，跨越了从172.16开始的一段B类区域；
• 192.168.0.0/16，也就是最常说的“家用路由器默认网段”。

这些地址在互联网上不可路由，必须通过网络设备做网络地址转换才能访问公网。现在绝大多数办公室、家庭网络用的都是这三段。其中192.168.x.x因为地址数量适中，被各类家用路由器默认为出厂配置。

还有一个每次都能看到的坑：169.254.0.0/16，链路本地地址。Windows网卡如果没有从DHCP服务器获取到地址，会自动生成一个169.254开头的地址，表现为“未识别的网络”。看到这个地址基本可以断定：网线没插好、DHCP服务挂了，或者交换机端口被禁用了。这个细节在排错时非常有用，因为它不是随机出现的，而是操作系统明确告诉你“动态地址获取失败”。

2. 子网掩码的本质：把“网络位”和“主机位”的边界焊死

2.1 掩码就是一个二进制模板

如果只有ABC分类，那一个C类网段192.168.1.0里就固定只能有254台设备，想再多就得再申请一个C类段。看起来简单，但实际问题远比这复杂。比如192.168.1.0被划分为一个网络后，路由器怎么知道这个地址的网络部分是前24位，而不是前16位或者前20位？答案就是子网掩码。

子网掩码也是一个32位二进制数，规则是：网络位全部置1，主机位全部置0。255.255.255.0写成二进制就是：

11111111.11111111.11111111.00000000

它翻译成十进制就是“前三段都是255，最后一段是0”。它的作用非常直白：路由器拿IP地址跟掩码做按位与运算，结果就是网络号。

举个例子。主机A的IP是192.168.1.50，掩码是255.255.255.0。做一次按位与运算：

IP地址 : 11000000.10101000.00000001.00110010 掩码 : 11111111.11111111.11111111.00000000 与结果 : 11000000.10101000.00000001.00000000 换算 : 192.168.1.0

所以192.168.1.50/24所在的网络号就是192.168.1.0。只要两台设备的网络号一样，它们就处于同一个二层广播域，可以直接通信。如果不一样，就必须通过网关转发。

这里的底层逻辑用门牌号类比就很好理解：掩码决定了“门牌号前几位是楼栋号，后几位是房间号”。对网络设备来说，这个问题直接决定了数据该直接给对门还是走小区门卫。

2.2 由主机数量反推掩码：不是背表，是算出来的

很多新手拿到需求，比如“这个VLAN要放30台设备”，第一反应是跑去查掩码速查表。其实这个方案可以完完全全通过二进制推出来，熟练后比查表快得多，也不容易错。

计算原则就两条：

1. 主机位必须有n位，并且2的n次方减2必须大于等于需求的设备数。减2是因为每个网段都要扣除网络号（主机位全0）和广播地址（主机位全1）。
2. 掩码前缀长度就是32减n。

以30台设备为例。2的4次方是16，减2等于14，不够。2的5次方是32，减2等于30，刚好够。所以主机位至少要5位，前缀长度就是32减5，也就是27位。对应掩码写成二进制是：

11111111.11111111.11111111.11100000

最后的11100000换算成十进制是224，所以掩码是255.255.255.224，即/27。

同样的思路，300台设备需要多少主机位？2的8次方减2等于254，不够用。2的9次方减2等于510，够。所以主机位9位，前缀长度32减9等于23，掩码是255.255.254.0。注意这个掩码跟平时的255.255.255.0不一样，它的第三段是254，而不是255，因为这一段里有一位已经划给了主机位。这个“第三段出现254”的现象，正是跨越了传统C类网段边界之后的典型特征。

我专门把常用档位整理成一张速查表，平时规划网络可以直接对照：

2.3 子网“借位”：把一个C类网段切成多段

现在来到真正的重点：子网划分的“借位”。它的含义是，把原本属于主机位的高位部分“借”出来充当网络位，从而把一个传统网段切分成多个更小的网段。

拿192.168.1.0/24举例。这个网段的二进制结构是前24位网络位，后8位主机位。如果向前借3位当子网位，掩码就变成/27（24加3），相当于把最后的8位主机位拆成“3位子网号+5位主机号”。

借3位能得到2的3次方，也就是8个子网。每个子网的步长是2的5次方，也就是32。8个子网的起止范围如下：

这里有个容易出错的地方是步长计算。借了3位后，每个子网的大小取决于剩下多少主机位，也就是2的5次方等于32。这一点一定不能用2的3次方去算，否则会把子网边界完全搞错。

在Linux设备上可以用ipcalc命令快速核对结果：

ipcalc 192.168.1.0/27

输出会直接列出子网掩码、网络号、广播地址和可用地址范围。配置交换机VLAN接口或者路由器子接口之前，先用它验证一遍规划结果是最稳妥的。

3. 从固定分类到CIDR：现代网络为什么不再死守ABC

3.1 固定分类的问题：不是太大就是太小

有类寻址的问题，随着时间的推移越来越明显。核心矛盾是：ABC三类网段的粒度太粗。A类每个网络能容纳1600多万台主机，B类能容纳6万多台，C类只有254台。现实中的网络规模绝大多数卡在“几百台到几千台”这个区间。

假设某公司拿到了一个B类网段172.16.0.0/16，实际却只有600台设备挂在网上。按照有类寻址的逻辑，这6万多台主机容量的地址段就不得不全部保留，其他组织不能使用。结果是大量地址被白白浪费。互联网早期地址短缺的重要原因之一，就是这种“非大即小”的分配方式。

另一方面，一个普通的C类段只有254个可用地址，一旦组织规模超过这个数字，就要去申请好几个C类段。多个C类段又带来另外一个麻烦：每一个C类段在路由表里都是一条独立条目，骨干路由器的路由表会迅速膨胀，转发性能大幅下降。

3.2 CIDR登场：前缀长度取代固定类别

1993年提出的CIDR，无类域间路由，核心思想就是彻底放弃“这个地址属于哪个类”的判断，用“前缀长度”统一描述网络位个数。192.168.1.0/25、172.16.0.0/12、10.0.0.0/8，这些写法都属于CIDR，网络位不再是固定的8位、16位或24位，而是任意长度。

配合CIDR出现的是VLSM可变长子网掩码。它允许在同一个大网段内部，不同子网使用不同的掩码长度。比如192.168.0.0/16这个段内，一部分子网用/24，一部分用/27，另一部分用/23，完全按需求来。这和传统有类寻址“一个网段只能一个掩码”的限制完全不同。

现在主流网络设备都默认支持CIDR，配置接口地址时直接写“IP地址加前缀长度”即可。比如在三层交换机上配置一个VLAN接口：

interface vlan 10 ip address 192.168.0.1 255.255.254.0

和旧式的分类配置相比，CIDR允许根据实际主机数决定掩码，地址利用率大幅提升。这也是为什么现在我们规划网段时，不再问“这是B类还是C类地址”，而是直接说“这个段是多长”。

3.3 超网聚合：把连续的小网段合并成大块

CIDR还有一种反向操作叫超网聚合，或者说路由聚合。原理是把多个连续的小网段合并成一个更大的网段，从而减少路由表中的条目数。

经典的例子是把连续的C类段合并。192.168.0.0/24和192.168.1.0/24这两个段，分别是：

• 192.168.0.0/24：11000000.10101000.00000000.xxxxxxxx
• 192.168.1.0/24：11000000.10101000.00000001.xxxxxxxx

前23个二进制位完全一致，只有第24位不同。所以把掩码从/24改成/23，就能用一个网段覆盖两个段：

192.168.0.0/23，范围从192.168.0.0到192.168.1.255

条件有两个：一是两个网段在地址空间上必须连续；二是起始网段的低9位必须全部为0。比如192.168.0.0/24和192.168.1.0/24可以合并，但192.168.0.0/24和192.168.2.0/24就不行，因为二者中间还隔着192.168.1.0/24。合并192.168.0.0到192.168.3.0这四个/24需要/22前缀，也就是掩码255.255.252.0。

互联网骨干路由表能控制在一个可处理的数量级，靠的就是这种前缀聚合。企业中二层结构里，把一个连续的大段划给同一个区域，然后在边界路由设备上做聚合，也能显著减少路由条目，减少三层设备之间的协议开销。

4. 实战规划：一个办公网络的地址分配与常见排错

4.1 从需求反推地址段：办公区、访客Wi-Fi、监控和财务

理论讲完，用一套实际规划流程把方法串起来。假设某公司要规划一套内网地址体系，需求如下：

规划来源统一从私有地址段192.168.0.0/16里取。按需求逐个反推：

办公区300台，需要9位主机位，掩码/23，取192.168.0.0/23。这个段覆盖192.168.0.0到192.168.1.255，可用地址510个，网关设在192.168.0.1。

访客Wi-Fi 100台，需要7位主机位，掩码/25，取192.168.2.0/25。范围192.168.2.0到192.168.2.127，可用地址126个，网关192.168.2.1。

财务区40台，需要6位主机位，掩码/26，取192.168.2.192/26。范围192.168.2.192到192.168.2.255，可用地址62个。注意网络号是192，不是0，因为这一段前面被访客段和预留段占用了。

监控50台，同样需要6位主机位，掩码/26，取192.168.3.0/26。范围192.168.3.0到192.168.3.63，可用地址62个，网关192.168.3.1。

完整的VLAN规划如下：

剩余的空间还有192.168.2.128/25的另外一半以及192.168.3.64以后的一大片，留给后续新业务扩展，不用再重新规划。

这里有个值得注意的细节：网关地址不一定要放在子网的第一个可用地址上，但行业默认把它放在第一个可用地址，便于记忆和排错。例如VLAN 30的网络号是192.168.2.192，第一个可用地址是192.168.2.193，网关就是它。如果误把网关配置成192.168.2.192或者192.168.2.255，整个VLAN的通信就会出问题。

4.2 实际环境里最常见的配置错误与排查链路

地址规划得再清楚，落地的过程中还是有几个高频错误反复出现，碰到过太多次了。

第一个错误是把网关配置成网络号或者广播地址。比如192.168.2.192/26这个段，很多人图方便直接把网关写成“192.168.2.192”，但这个地址是网络号本身，不能分配给任何设备使用。终端设备配了网关后，发去的报文会被设备当作无效目标地址丢弃。同样，192.168.2.255是广播地址，也不能拿来当网关。正确做法一目了然：网关必须落在“可用地址范围”内。

第二个错误是跨VLAN配置了相同网段。比如VLAN 10用了192.168.0.0/23，VLAN 20又觉得“差不多”也配置了192.168.0.0/23。表面上不冲突，因为VLAN在二层隔离，但三层路由会出大问题：设备收到目的地址属于这个网段的报文时，不知道该从哪个VLAN接口发出去。我曾经在一个园区网排错，发现VLAN 20的主机能够ping通网关，但局域网转发全乱套，根源就是两个VLAN配了同一网段。

第三个错误是DHCP地址池和接口掩码不一致。接口配/23，DHCP地址池却配成/24，导致一部分应该属于同一子网的地址分配下去后，客户端无法解析网关。这类问题配置上根本看不出来有什么明显异常，但客户端会随机出现“能拿地址但上不了网”的现象。解决办法是每次改接口掩码后，必须同步检查DHCP池的掩码和网关，最好在用完后用抓包确认一下。

第四个错误更容易被忽略：基础连通性测试的顺序。很多新手一上来就ping对端终端的IP，不通就开始怀疑防火墙、伪装规则，甚至直接重写配置。其实正确排错链路应该先ping网关，网关通了再ping对端地址。如果连网关都不通，那就是二层问题或者本机配置问题；如果网关通了但对端不通，才是三层路由或安全策略问题。一层一层缩小范围，永远比瞎猜高效。

4.3 速查与工具：把规划效率提上来

给还在手动换算的朋友推荐一套流程。先用主机数反推掩码，然后用ipcalc或者在线的子网计算工具做验证，最后再把结果落到拓扑文档里。

平时最常用的验证方法是在Linux终端跑一条命令：

ipcalc 192.168.2.192 255.255.255.192

或者直接用前缀写法：

ipcalc 192.168.2.192/26

输出里会出现网络地址、广播地址、主机范围和掩码，一眼能看到规划是否合理。Windows环境下没有内置类似工具，可以记住几个关键值：/26的子网块大小是64，/25的子网块大小是128，/27的子网块大小是32。这个“块大小”就是相邻网络号之间的差值，知道了它能快速锁定任意子网的边界。

最后提醒一点：/31这个特殊掩码值得单独说，点对点链路比如两个路由器直连，完全不需要广播地址，也根本不存在“两个以上主机”的需求。RFC 3021允许用/31给点对点链路分配地址，两个地址刚好给两端。不过这种用法需要设备本身支持，老路由或某些傻瓜交换机就不一定认。我在实际项目里碰到过用/31配置互联地址，结果某品牌设备不支持导致路由邻居起不来的情况，所以用之前先确认设备手册，别为了省两个地址给自己挖坑。

规划地址这件事，本质上就是“看需求、数主机位、定掩码、划边界”四步。这条链路跑顺了，不管是给交换机配VLAN还是给路由器配子接口，都会顺手很多。希望这篇把细节讲到位的内容能帮你少踩几个我踩过的坑。