El subnetting es el tema donde más ingenieros fingen. La conversación suele morir en "ponle /24 y ya". Funciona —hasta que no—: una red que se llena, un rango que se solapa con la VPN, una VLAN que "no aísla nada". Casi siempre, debajo, hay una máscara que nadie entendió. La buena noticia es que subnetting no es magia negra; es contar en binario con un propósito muy concreto.
Qué problema resuelve
Tienes un espacio de direcciones —digamos 192.168.10.0— y necesitas partirlo en redes más pequeñas. ¿Por qué partirlo? Por tres razones prácticas: contener el tráfico de broadcast (una red enorme y plana se satura sola), imponer orden (servidores acá, usuarios allá, cámaras más allá) y sentar la base para separar por seguridad. Subnetting es, literalmente, decidir dónde cortar.
La máscara: red contra host
Una dirección IP tiene dos partes: unos bits que identifican la red y otros que identifican al equipo (host) dentro de ella. La máscara es lo que marca la frontera entre ambas. Cuando lees 255.255.255.0, esos tres 255 dicen "estos 24 bits son de red"; el 0 final dice "estos 8 bits son para hosts". Por eso 255.255.255.0 y /24 son exactamente lo mismo: la notación CIDR (/24) solo cuenta cuántos bits, de izquierda a derecha, son de red.
Más bits de red = menos bits de host = redes más pequeñas y numerosas. Menos bits de red = redes más grandes. Todo el subnetting vive en ese balancín.
Un ejemplo trabajado (el que aclara todo)
Tienes 192.168.10.0/24: 256 direcciones, 254 usables. Quieres cuatro redes iguales —usuarios, servidores, cámaras, invitados—. Para partir en cuatro, "pides prestados" 2 bits al espacio de host (2 bits = 4 combinaciones), y pasas de /24 a /26. Cada /26 tiene 64 direcciones. Quedan así:
- Subred 1:
192.168.10.0–.63 - Subred 2:
192.168.10.64–.127 - Subred 3:
192.168.10.128–.191 - Subred 4:
192.168.10.192–.255
Ojo con un detalle que cuesta caro olvidar: en cada subred, la primera dirección es la de red (.0, .64…) y la última es la de broadcast (.63, .127…). Ninguna se asigna a un equipo. Por eso un /26 de 64 direcciones te da 62 usables, no 64. Esa resta de dos —una red, una broadcast— es el "menos 2" que aparece en todos lados.
Y no tienes que hacer esta aritmética a mano cada vez: para eso está nuestra calculadora de subredes IPv4 —te entrega dirección de red, broadcast, rango de hosts utilizables, máscara y wildcard al instante, y trae un divisor que parte cualquier red en subredes iguales—. Ese enlace la abre con este mismo ejemplo ya cargado; cámbialo por tu propio rango y compáralo con lo que calculaste a mano. Entender el porqué y comprobar con la herramienta es justo la combinación que buscas.
Por qué /24 no es magia
El /24 es un default cómodo: 254 hosts, números redondos, fácil de leer. Pero cómodo no es correcto. Un /24 para una red de 5 servidores desperdicia 249 direcciones y mete a esos servidores en un dominio de broadcast innecesariamente grande. Y un /24 plano donde todo convive —PCs, cámaras, impresoras, invitados— no aísla nada. Dimensionar la máscara al tamaño real es lo que separa una red diseñada de una red que "creció sola".
No todas las subredes tienen que ser del mismo tamaño
El ejemplo de cuatro /26 iguales es didáctico, pero la realidad rara vez es tan pareja: tu red de servidores quizá necesite 30 direcciones y la de invitados 200. Partir todo en bloques idénticos desperdicia de un lado y ahoga del otro. Para eso existe VLSM (máscaras de longitud variable): subredes de distinto tamaño dentro del mismo espacio, cada una dimensionada a lo que de verdad necesita. Una red de 30 hosts entra cómoda en un /27 (30 usables); una de 200, en un /24. La regla al hacerlo a mano es simple: asigna primero las subredes grandes y luego las chicas, para que los bloques no se solapen. Solaparse es el error clásico —y silencioso— de quien reparte máscaras sin un plano. Por convención, además, la primera dirección usable de cada subred (la .1) suele reservarse para el gateway; no es obligatorio, pero romper esa costumbre confunde a todo el que herede la red.
El malentendido peligroso
Subnetting ordena y separa, pero no es seguridad por sí mismo. Que las cámaras vivan en su propia subred no impide que alguien en otra subred las alcance: para eso hace falta control de ruteo y un firewall entre segmentos. Subnetting es el plano; la segmentación real es el plano más las reglas que lo hacen valer. Confundirlos es creer que dibujar paredes es lo mismo que ponerles puerta con cerradura.
La idea que se queda
En la práctica, cada subred suele corresponder a una VLAN, y ahí es donde el plano se vuelve tráfico real —el tema del viaje del paquete—. Si entiendes que la máscara solo decide dónde termina la red y empieza el host, el resto es aritmética. Y deja de darte miedo. Es la segunda parada del recorrido completo de una red.