1. 从一个让人抓狂的排错现场说起刚入行那会儿我遇到过一个至今印象深刻的故障。两台机器明明插在同一台交换机上网线是通的网卡灯也亮着但就是互相 ping 不通。当时我第一反应是物理链路问题换了三根网线、两个交换机端口折腾了快两个小时最后一位前辈过来看了一眼 IP 配置淡淡地说了一句你这俩地址根本不在一个网段里怎么可能通。那一刻我才真正意识到IP 地址这东西不是随便填四个数字就能用的。它背后有一套完整的划分逻辑和分类规则你填错一个数字可能整台机器就成了网络里的孤岛。后来带新人我发现几乎每个人都会在 IP 地址划分这件事上栽跟头——有人把主机位全填 0有人把广播地址当普通地址用有人搞不清子网掩码到底在干什么。这些问题看起来基础但恰恰是网络排错时最容易被忽略、也最耗时间的坑。这篇内容我想把 IP 地址的划分和分类这件事彻底讲透。不是照本宣科地念教科书而是从为什么这么设计实际配置时怎么算哪些地方最容易出错这几个角度把这块知识拆开揉碎。不管你是刚接触网络的新手还是工作几年但一直没系统梳理过这块的老手看完之后应该都能对 IP 地址有一个更清晰、更落地的理解。核心关键词就是IP 地址划分、IP 地址分类、子网掩码、网络号与主机号、A/B/C 类地址这些概念我会一个一个掰开讲。2. IP 地址到底是什么先搞懂它的二进制本质2.1 点分十进制只是给人看的皮我们平时说的192.168.1.1这叫点分十进制表示法是专门给人类看的。计算机真正认的是 32 位二进制数。把192.168.1.1展开成二进制是这样192 - 11000000 168 - 10101000 1 - 00000001 1 - 00000001连起来就是11000000.10101000.00000001.00000001。总共 32 位分成 4 组每组 8 位也就是 4 个字节。这就是 IPv4 地址的全部家当——32 位理论上能表示 2 的 32 次方约 43 亿个地址。为什么要强调这个二进制本质因为后面所有的划分、分类、子网计算本质上都是在操作这 32 位二进制。你如果只停留在点分十进制的层面遇到子网划分就会一头雾水。举个最简单的例子为什么192.168.1.1和192.168.2.1默认不在一个网段因为它们的二进制前 24 位不一样。这个前多少位的概念就是后面所有内容的钥匙。我建议你在学这块的时候手边常备一张十进制-二进制对照表或者干脆自己动手把 0 到 255 的二进制写一遍。别嫌麻烦这个基本功扎实了后面算子网、判断网段都是几秒钟的事。2.2 网络号与主机号IP 地址的两段式结构一个 IP 地址在逻辑上被劈成两半网络号和主机号。网络号标识这台机器属于哪个网络主机号标识它是这个网络里的哪一台机器。打个比方网络号相当于小区地址主机号相当于门牌号。快递员送快递先找到小区网络号再找到具体哪一户主机号。如果两个地址的网络号不同那它们就是两个不同的小区快递员不会跨小区乱送——这就是为什么不同网段的机器默认不能直接通信。那么问题来了32 位里哪几位是网络号哪几位是主机号这个划分不是固定的而是由子网掩码决定的。子网掩码里连续的 1 对应网络号连续的 0 对应主机号。比如最常见的255.255.255.0二进制是 24 个 1 加 8 个 0意思就是前 24 位是网络号后 8 位是主机号。这里有个新手特别容易搞混的点网络号和主机号的边界不是按点来分的。很多人以为192.168.1.1里192.168.1就是网络号最后一个1是主机号。这在默认的 C 类掩码下确实成立但一旦你换了掩码比如用255.255.254.0边界就跑到第三段的中间去了。所以判断网段永远要看掩码不能凭感觉数点。2.3 主机位全 0 和全 1 为什么不能用每个网段里有两个地址是被征用的不能分配给具体主机主机位全 0代表这个网络本身叫网络地址。比如192.168.1.0/24里的192.168.1.0。主机位全 1代表这个网段的广播地址。比如192.168.1.0/24里的192.168.1.255。所以一个/24的网段理论上有 256 个地址实际能分配给主机的是 254 个。这个减 2的规则是所有子网计算的基础。我见过有人把网关设成广播地址结果整台机器网络时通时断排查了半天。也见过有人把服务器 IP 配成网络地址直接起不来服务。这两个地址就像小区里的小区名和全体广播喇叭你不能把某户人家的门牌号设成这两个。提示判断一个地址是不是网络地址或广播地址不能只看最后一段是不是 0 或 255。要看掩码划定的主机位。比如/25的网段192.168.1.128是网络地址192.168.1.127是广播地址都不是 0 或 255。3. A、B、C、D、E 五类地址分类的由来与现状3.1 分类地址的历史逻辑IPv4 刚设计出来的时候采用的是分类寻址Classful Addressing的方案。设计者的想法很朴素把地址空间按规模分成几档大网络给一大块小网络给一小块。于是就有了 A、B、C、D、E 五类。判断一个地址属于哪一类看它的第一个字节最高 8 位的前几位类别首字节二进制前缀首字节十进制范围默认掩码网络数每网主机数A 类0xxxxxxx1 - 126255.0.0.0126约 1677 万B 类10xxxxxx128 - 191255.255.0.016384约 6.5 万C 类110xxxxx192 - 223255.255.255.0约 209 万254D 类1110xxxx224 - 239无组播专用组播专用E 类1111xxxx240 - 255无保留实验保留实验注意 A 类范围是 1 到 126不是 0 到 127。0.x.x.x和127.x.x.x有特殊用途被单独拿出来了。127开头的整个网段是回环地址最常用的就是127.0.0.1也就是本机。0.0.0.0则常用来表示本机所有地址或默认路由。3.2 为什么现在很少提分类了分类寻址有个致命问题浪费太严重。假设一个公司只有 300 台机器按分类规则它得申请一个 B 类地址一个 B 类有 6.5 万个地址结果 99.5% 都空着。而 C 类又只有 254 个不够用。这种要么撑死要么饿死的分配方式在互联网快速膨胀的年代很快就撑不住了。于是后来出现了CIDR无类别域间路由也就是我们现在最常用的写法比如192.168.1.0/24那个/24就是掩码长度。CIDR 打破了 A/B/C 的固定边界你可以按需划分任意长度的掩码/23、/25、/30都行。这才是现代网络规划的主流方式。但为什么还要学分类两个原因。第一很多默认配置、老设备、考试题还在用分类的概念你不懂就看不懂。第二分类是理解 CIDR 的基础A/B/C 的默认掩码其实就是/8、/16、/24理解了分类CIDR 就是水到渠成的事。3.3 私有地址内网里的自留地分类里还有一块必须单独拎出来讲私有地址。这些地址不会在公网上路由专门留给内部网络随便用。RFC 1918 定义了三个私有地址段10.0.0.0/8A 类里挖出来的一块约 1677 万个地址172.16.0.0/12B 类里挖出来的约 104 万个地址192.168.0.0/16C 类里挖出来的约 6.5 万个地址你在家里、公司里看到的地址绝大多数都是192.168.x.x或10.x.x.x。这些地址在公网上是不存在的所以不同公司用同样的192.168.1.0/24完全没问题互不冲突。需要访问公网时通过 NAT网络地址转换把私有地址翻译成公网地址出去。这里有个实操经验规划内网时优先用10.0.0.0/8。因为它空间最大后续扩展、划分子网都游刃有余。很多小公司图省事全用192.168.1.0/24结果设备一多、部门一多地址不够用再想改就得全网停机重配非常痛苦。我见过一个项目前期用192.168.1.x后来要分 5 个部门每个部门还要隔离硬生生把/24切成 5 个/27每个部门只剩 30 个可用地址捉襟见肘。4. 子网掩码与子网划分把一块大蛋糕切成小块4.1 子网掩码的两种写法子网掩码有两种表达方式必须都认识点分十进制255.255.255.0CIDR 前缀长度/24两者是一一对应的。/24就是 24 个 1写成十进制就是255.255.255.0。常见对照如下CIDR点分十进制可用主机数/24255.255.255.0254/25255.255.255.128126/26255.255.255.19262/27255.255.255.22430/28255.255.255.24014/29255.255.255.2486/30255.255.255.2522/30只有 2 个可用地址专门用在点对点链路上比如两台路由器直连。/31和/32也有特殊用途/32表示单个主机地址常用于指定某台设备的精确路由。4.2 借位划分子网的完整计算过程子网划分的核心动作叫借位——从主机位里借几位出来当子网位。借的位数越多能划分的子网越多但每个子网能容纳的主机越少。这是一个此消彼长的关系。我拿一个具体例子走一遍完整流程。假设你拿到192.168.10.0/24这个网段现在要分成 6 个子网每个子网至少容纳 25 台主机。怎么算第一步确定借几位。要 6 个子网2 的 n 次方要大于等于 6。2 的 2 次方是 4不够2 的 3 次方是 8够。所以借 3 位。第二步确定新掩码。原来是/24借 3 位后变成/27也就是255.255.255.224。第三步确定每个子网的块大小。块大小 256 - 224 32。意思是每个子网占 32 个地址。第四步列出所有子网。子网网络地址可用地址范围广播地址1192.168.10.0.1 - .30.312192.168.10.32.33 - .62.633192.168.10.64.65 - .94.954192.168.10.96.97 - .126.1275192.168.10.128.129 - .158.1596192.168.10.160.161 - .190.1917192.168.10.192.193 - .222.2238192.168.10.224.225 - .254.255借 3 位得到 8 个子网用 6 个剩 2 个留着以后扩展。每个子网 32 个地址去掉网络地址和广播地址可用 30 个满足至少 25 台的要求。这套算法你多练几遍就会形成肌肉记忆。核心就一句话块大小 256 减去掩码最后一段的值然后从 0 开始按块大小往上加。4.3 一个反直觉的坑子网边界不等于点边界新手最容易犯的错是以为子网一定按最后一段来切。比如看到192.168.10.64/27觉得没问题但看到192.168.10.64/26就懵了因为/26的块大小是 64192.168.10.64确实是/26的一个网络地址但它的范围是.64 - .127跨了看起来像 C 类的边界。更极端的例子是/23。192.168.10.0/23的范围是192.168.10.0到192.168.11.255横跨了两个第三段。如果你按点来理解就会算错。记住一切以二进制和掩码为准不要用眼睛数点。我在实际项目里见过一个经典错误某工程师给服务器配了192.168.1.200/23网关配了192.168.1.1。他以为/23就是192.168.1.x结果这台服务器的实际网段是192.168.0.0/23范围是192.168.0.0 - 192.168.1.255网关192.168.1.1确实在范围内能通。但如果他把网关配成192.168.2.1就不通了因为192.168.2.1不在/23范围内。这种错误在跨网段配置时特别隐蔽。5. 特殊地址清单那些不能随便用的地址5.1 回环地址与本地链路地址除了前面说的网络地址和广播地址还有几类特殊地址必须心里有数127.0.0.0/8回环地址最常用127.0.0.1。发往这个地址的数据不会出网卡直接被本机协议栈处理。测试本机服务是否正常ping 一下127.0.0.1是最快的手段。169.254.0.0/16本地链路地址APIPA。当一台机器配了 DHCP 但没拿到地址时系统会自动给自己分配一个这个段的地址。所以如果你看到某台机器 IP 是169.254.x.x基本可以断定它没连上 DHCP 服务器或者 DHCP 出了问题。0.0.0.0表示本机所有地址或默认路由。服务器监听0.0.0.0表示监听所有网卡路由表里0.0.0.0/0表示默认路由。255.255.255.255受限广播地址只在本地网段广播不会被路由器转发。169.254这个段特别值得说。很多新手看到这个地址会以为是正常配置其实它是自动兜底的结果。有一次同事说他的开发机连不上内网我让他ipconfig一看地址是169.254.88.13直接判定是 DHCP 没拿到地址。后来一查是交换机上那个端口的 VLAN 配错了。这个地址段就像一个求救信号看到它就知道网络配置有问题。5.2 组播与保留地址D 类地址224.0.0.0 - 239.255.255.255是组播地址用于一对多的通信。比如视频会议、流媒体分发一台服务器发一份数据多个接收者同时收到。常见的224.0.0.1是所有主机组播组224.0.0.2是所有路由器组播组。E 类地址240.0.0.0 - 255.255.255.255是保留做实验用的普通网络里基本见不到。255.255.255.255虽然是 E 类范围但它是受限广播地址有明确用途。这些地址平时配置时用不到但排错时如果抓包看到组播流量你得知道那是正常的协议通信比如 OSPF、RIP 这些路由协议会用组播不是故障。6. 实战排错三个真实场景的完整排查链路6.1 场景一同交换机却 ping 不通回到开头那个案例。两台机器接在同一台交换机上互相 ping 不通。排查链路是这样的第一步看物理层。网卡灯亮不亮ethtool看链路状态是不是 up。这一步排除网线、端口问题。第二步看 IP 配置。两台机器的 IP、掩码、网关分别是什么。假设 A 是192.168.1.10/24B 是192.168.2.10/24。问题立刻暴露A 的网络号是192.168.1.0B 的是192.168.2.0不在一个网段。第三步理解为什么不通。A 要 ping B会先用自己的掩码算B 和我同网段吗192.168.2.10和192.168.1.10前 24 位不同不同网段。于是 A 不会直接发 ARP 找 B而是把包发给网关。如果 A 没配网关或者网关也不知道怎么到192.168.2.0/24包就被丢弃了。第四步修复。要么把 B 改成192.168.1.x要么给两台机器都配上正确的网关让路由器帮忙转发。这个案例的核心教训是同网段通信靠 ARP跨网段通信靠路由。判断能不能直接通先算网络号。6.2 场景二服务器配了 IP 却上不了网一台服务器配了192.168.1.100/24网关192.168.1.1但访问不了外网。排查过程第一步ping 网关。通不通如果通说明二层和网关都没问题。如果不通先查网关地址对不对、网关设备是否正常。第二步ping 公网 IP。比如 ping 一个公网地址。如果通说明路由和 NAT 没问题问题在 DNS。如果不通继续往下。第三步看路由表。route -n或ip route确认默认路由0.0.0.0/0指向网关。有时候服务器有多张网卡默认路由指到了错误的网卡上导致出不去。第四步看 DNS。cat /etc/resolv.conf确认 DNS 服务器配置正确。很多上不了网其实是域名解析不了ping IP 能通但 ping 域名不通就是 DNS 问题。这个场景里分层次排查是关键。从近到远本机 - 网关 - 公网 IP - 域名。每通一层问题范围就缩小一圈。6.3 场景三子网掩码配错导致的间歇性故障这个坑最隐蔽。某台机器配了192.168.1.50/25网关192.168.1.1。/25的网段是192.168.1.0 - 192.168.1.127网关192.168.1.1在范围内看起来没问题。但同网段还有一台机器是192.168.1.150/24。从192.168.1.50的角度看192.168.1.150不在自己的/25网段里因为/25只到.127所以它会尝试走网关。而网关如果配的是/24它认为.150就在同网段会直接 ARP 找.150。两边对网段的理解不一致就可能导致通信异常。这种掩码不一致的问题在混合了不同管理员配置的网络里特别常见。排查方法把所有相关设备的 IP 和掩码列出来逐个算网络号看是否一致。不一致的地方就是问题点。注意同一个二层网络里所有设备的掩码必须一致。掩码不一致会导致部分设备认为同网段、部分认为跨网段通信行为就会变得不可预测。7. 规划一个网段的实操思路7.1 先想清楚要几个子网、每个多大拿到一个网段准备划分时别急着算先问自己三个问题总共需要几个子网按部门、按楼层、按功能先数出来然后留 20% 到 30% 的余量。每个子网最多多少台设备取最大值然后往上取到 2 的幂次减 2。未来会不会扩展如果会宁可现在多留几个子网也别把地址切得太碎。举个例子一个办公网3 个部门每部门约 50 台设备还要一个管理网段放交换机、服务器。总共 4 个子网每个至少 50 台。50 台需要 6 位主机位2 的 6 次方减 2 等于 62所以掩码是/26。4 个子网需要 2 位子网位2 的 2 次方等于 4从/24借 2 位变成/26。刚好。如果考虑扩展可以借 3 位变成/27得到 8 个子网每个 30 台。但 30 台不够 50 台所以不行。那就得从更大的网段开始比如用10.0.0.0/16来划空间就充裕多了。7.2 地址规划表怎么落地规划好了要形成文档我习惯用这样一张表用途网段掩码网关可用范围VLAN部门一10.1.1.0/26255.255.255.19210.1.1.1.1 - .62101部门二10.1.1.64/26255.255.255.19210.1.1.65.65 - .126102部门三10.1.1.128/26255.255.255.19210.1.1.129.129 - .190103管理网10.1.1.192/26255.255.255.19210.1.1.193.193 - .254104这张表往那一放谁配错了一眼就能看出来。网关统一用每个子网的第一个可用地址这是最常见的约定好记也好排查。7.3 几个规划时的经验之谈第一网关地址统一规则。要么都用第一个可用地址要么都用最后一个。别这个子网用第一个、那个用最后一个时间长了没人记得住。第二服务器地址段单独划。服务器、打印机、网络设备这些固定不动的设备单独给一个子网和员工终端分开。这样既好管理也方便做访问控制。第三DHCP 池和静态地址分开。如果子网里既有 DHCP 又有静态 IP把静态地址集中在某一段DHCP 池避开这一段。否则容易出现 IP 冲突——DHCP 把某个地址分出去了结果这个地址又被手工配给了另一台机器。第四文档一定要更新。我见过太多文档和实际不符的网络排查时被误导。每次改动哪怕只是加一台设备也要同步更新规划表。这个习惯能省下未来无数个小时。8. 关于 IP 地址划分我踩过的那些坑聊了这么多原理和实操最后分享几个我自己踩过的、印象深刻的坑都是教科书上不会写的。坑一以为/24就是 254 台。早期我规划一个部门按 254 台算结果实际只能放 253 台因为网关占了一个。后来学乖了规划时永远把网关、服务器这些固定占用先扣掉再算剩余。坑二跨网段 ping 不通就怀疑路由。有一次两台机器跨网段不通我查了半天路由表最后发现是目标机器的防火墙没放行 ICMP。排错时永远先确认是不是被策略挡了再怀疑路由。这个顺序能省很多时间。坑三子网划分时忘了广播地址。有一次把广播地址配给了设备设备时通时断抓包发现它偶尔会响应广播包造成地址冲突。网络地址和广播地址这两个雷区配置时一定要避开。坑四私有地址段选得太小。前面提过小公司图省事用192.168.1.0/24结果扩展时捉襟见肘。如果让我重新规划内网一律从10.0.0.0/8开始按需切分永远留有余地。坑五忽略掩码一致性。同一个 VLAN 里有人配/24有人配/25表面上都能上网但互相访问时行为诡异。统一掩码这件事必须在规划阶段就定死配置时逐台核对。这些坑说到底都指向同一个道理IP 地址划分不是填四个数字那么简单它是一套需要提前规划、统一标准、持续维护的工程实践。你把二进制、掩码、网络号主机号这几件事真正吃透了再配合一套清晰的规划文档网络里 80% 的玄学故障都能在几分钟内定位。我个人在实际操作中的体会是遇到网络不通先别急着敲命令先在纸上把两端的 IP、掩码、网关画出来算一遍网络号。很多时候答案在动键盘之前就已经出来了。
