Qu'est-ce qu'un masque de sous-réseau ? Pourquoi est-ce important pour votre réseau ?

Chaque appareil d'un réseau doit savoir où les informations doivent être acheminées. Sans règles claires, les données circuleraient à l'aveuglette, ce qui entraînerait confusion et ralentissements. Les masques de sous-réseau font partie des outils qui assurent le bon fonctionnement des réseaux, en aidant à organiser les connexions et à acheminer le trafic là où il faut.

Dans ce guide, vous découvrirez pourquoi les masques de sous-réseau sont importants tant pour les performances que pour la sécurité, comment trouver le vôtre sur n'importe quel appareil, et ce que signifient concrètement les différentes valeurs de masque. Nous aborderons également des concepts avancés tels que la notation CIDR (Classless Inter-Domain Routing) et le découpage en sous-réseaux IPv6, vous fournissant ainsi le contexte nécessaire pour comprendre la structure actuelle des réseaux.

Qu'est-ce qu'un masque de sous-réseau ?

Un masque de sous-réseau est une séquence numérique qui permet de déterminer quelle partie d'une adresse IP correspond au réseau et quelle partie correspond à l'appareil (hôte).

Lorsqu'il est aligné bit par bit avec une adresse IP, le masque de sous-réseau aide les appareils à déterminer quelles adresses sont « locales » (sur le même sous-réseau) et lesquelles doivent être atteintes via un routeur.

En IPv4, le masque de sous-réseau est une valeur de 32 bits généralement représentée sous forme décimale pointée. Alors que l'adressage IPv6 utilise 128 bits binaires, l'IPv4 reste aujourd'hui le format le plus répandu et est généralement plus facile à comprendre ; c'est pourquoi ce guide se concentre principalement sur des exemples IPv4.

Pour en savoir plus, consultez notre guide comparatif IPv4 vs. IPv6.

Structure de base des masques de sous-réseau

En IPv4, un masque de sous-réseau est un nombre de 32 bits constitué d'une suite continue de uns (1) suivis de zéros (0), les uns représentant les bits de réseau et les zéros les bits d'hôte.

Par exemple, le masque 255.255.255.0 correspond au motif binaire 11111111.11111111.11111111.00000000. Cela représente 24 uns suivis de 8 zéros ; les 24 premiers bits identifient donc le réseau et les 8 derniers bits identifient les hôtes.

Pour qu'un masque de sous-réseau soit valide, tous ses 1 doivent apparaître ensemble au début, suivis de 0 à la fin, sans mélange entre eux. Cette configuration garantit une délimitation claire entre les parties réseau et hôte d'une adresse IP.

Ce format cohérent permet d'écrire les masques de sous-réseau aussi bien en notation binaire qu'en notation décimale pointée et garantit que les appareils peuvent rapidement distinguer les adresses réseau des adresses hôtes.

Représentation en notation décimale pointée et représentation binaire

Les masques de sous-réseau peuvent être écrits sous deux formes : binaire ou décimale pointée. Les ordinateurs les traitent en binaire, mais cette notation est longue et difficile à lire pour les humains. Pour faciliter la lecture, les 32 bits binaires sont regroupés en quatre blocs de huit et représentés par des nombres décimaux séparés par des points.

Chaque bit d'un octet a un poids : 128, 64, 32, 16, 8, 4, 2 et 1. Pour convertir le binaire en décimal pointé, il faut additionner les valeurs des positions marquées d'un 1. Par exemple, la chaîne binaire 11111111.11111111.11111111.00000000 devient 255.255.255.0 sous forme décimale pointée. Les deux formats ont la même signification ; la notation décimale pointée est simplement une façon plus simple d'écrire ce que le système utilise.

Sous-réseaux et masques de sous-réseau

Un masque de sous-réseau et un sous-réseau sont liés, mais ce n'est pas la même chose. Le masque de sous-réseau est la valeur numérique qui indique à un périphérique où diviser une adresse IP en parties réseau et hôte. C'est l'instruction qui guide cette division.

Un sous-réseau est une section logique plus petite d'un réseau plus vaste, définie en appliquant un masque de sous-réseau à une adresse IP. Par exemple, avec l'adresse IP 192.168.123.132 et le masque de sous-réseau 255.255.255.0, les 24 premiers bits (192.168.123) définissent la partie réseau, et les 8 derniers bits (.132) identifient l'hôte au sein de ce sous-réseau. Cela signifie que l'adresse appartient au sous-réseau 192.168.123.0, avec .132 comme hôte unique.

En termes simples, le masque de sous-réseau définit la limite, et le sous-réseau est le réseau qui existe à l'intérieur de celle-ci.

À quoi sert un masque de sous-réseau ?

Le rôle d'un masque de sous-réseau est d'indiquer aux appareils quelle partie d'une adresse IP appartient au réseau et quelle partie identifie un appareil spécifique (hôte). Ce faisant, il aide les appareils à déterminer si la communication peut rester locale (au sein du même sous-réseau) ou si elle doit être acheminée via une passerelle.

Grâce aux masques de sous-réseau, les réseaux peuvent être divisés en segments plus petits, ou sous-réseaux, ce qui rend le routage plus efficace, allège le trafic et facilite la gestion du réseau. Les masques de sous-réseau réduisent le trafic de diffusion inutile, aident à isoler les segments pour des raisons de sécurité et indiquent clairement le chemin que les données doivent emprunter pour atteindre leur destination.

Comment le découpage en sous-réseaux améliore les performances du réseau

Le découpage en sous-réseaux rend les réseaux plus rapides et plus faciles à gérer en réduisant le trafic inutile. Lorsqu'un grand réseau est divisé en sous-réseaux plus petits, les appareils au sein de chaque sous-réseau communiquent directement entre eux, ce qui permet de confiner le trafic local au lieu de le diffuser sur l'ensemble du réseau.

Le découpage en sous-réseaux prend également en charge l’agrégation de routes, ce qui signifie que les routeurs peuvent annoncer une route synthétisée au lieu de plusieurs routes individuelles. Cela réduit le nombre d'entrées que chaque routeur doit stocker et vérifier, ce qui rend les tables de routage plus petites et plus rapides à traiter. En conséquence, les recherches prennent moins de temps et le réseau dans son ensemble devient plus évolutif. La combinaison de domaines de diffusion plus petits et d'un routage simplifié se traduit par des performances plus fluides sur l'ensemble du réseau.

Avantages de la segmentation du réseau

Le découpage d'un réseau en segments plus petits ne sert pas seulement à le structurer ; il a des répercussions directes sur la vitesse, la gestion et la conformité. Le découpage en sous-réseaux permet de confiner le trafic local à son périmètre, de réduire la congestion inutile et d'offrir aux administrateurs un contrôle plus précis sur la circulation des informations.

Parmi les principaux avantages, on peut citer :

• Réduction de la congestion et amélioration des performances : le trafic local reste confiné à son propre sous-réseau, ce qui évite que des transmissions inutiles ne ralentissent l'ensemble du réseau.
• Sécurité et isolation renforcées : chaque sous-réseau limite les accès internes et contribue à confiner les menaces potentielles à l'intérieur de ses limites. Ce concept s'inscrit dans la lignée des principes du « zero trust », qui mettent l'accent sur la vérification de chaque connexion plutôt que sur la confiance a priori au sein d'un réseau.
• Meilleure visibilité et meilleur contrôle d'accès : les administrateurs peuvent appliquer des règles spécifiques à chaque sous-réseau et surveiller l'activité avec plus de précision que dans un seul grand réseau.
• Avantages en matière de réglementation et de conformité : les systèmes sensibles peuvent être conservés dans des segments dédiés, ce qui réduit le nombre d'appareils devant répondre à des exigences d'audit strictes.

Réduction des risques grâce au découpage en sous-réseaux

Le découpage en sous-réseaux ajoute une couche de protection supplémentaire en divisant un grand réseau en zones plus petites et isolées. Si une zone est compromise, les dommages restent confinés à ce sous-réseau spécifique au lieu de se propager à l'ensemble du système. Ce confinement facilite la lutte contre les attaques et limite leur impact global.

Il réduit également la surface d'attaque. Le trafic devant passer par des frontières clairement définies, le découpage en sous-réseaux rend plus difficile la propagation latérale des menaces à travers le réseau. Il en résulte davantage d'obstacles pour les attaquants et un meilleur contrôle pour les équipes de sécurité sur la manière dont les données circulent entre les différents segments.

Erreurs courantes à éviter

Le découpage en sous-réseaux peut rendre les réseaux plus rapides et plus sûrs, mais seulement s’il est correctement configuré. De petites erreurs de configuration peuvent entraîner de sérieux problèmes de connectivité ou de performances. Voici quelques erreurs courantes à éviter :

• Utilisation d’un masque de sous-réseau incorrect : si les appareils sont configurés avec un masque qui ne correspond pas au réseau, ils risquent de ne pas communiquer correctement.
• Masques de sous-réseau incompatibles ou par défaut : l'utilisation d'un masque de sous-réseau qui ne correspond pas à la configuration réelle du réseau peut entraîner des échecs de communication ou des problèmes de routage.
• Surdimensionner les sous-réseaux : un nombre trop élevé de machines par sous-réseau génère davantage de trafic de diffusion, ce qui ralentit les performances.
• Sous-réseaux qui se chevauchent : si deux sous-réseaux utilisent des plages d'adresses qui se chevauchent, les appareils peuvent ne pas se connecter comme prévu, car de nombreuses plateformes bloquent la connectivité lorsqu'elles détectent des chevauchements.
• Oubli des adresses réservées : la première (ID réseau) et la dernière (diffusion) adresse de chaque sous-réseau ne peuvent pas être attribuées à des hôtes. Une mauvaise utilisation de ces adresses peut perturber la connectivité.
• Mauvaise planification et documentation insuffisante : sans plan de sous-réseaux clair, la mise à l'échelle ou le dépannage deviennent beaucoup plus difficiles, ce qui augmente le risque de configurations erronées.

Sous-réseaux ou VPN : quelle différence ?

Le découpage en sous-réseaux et les réseaux privés virtuels (VPN) influencent tous deux la manière dont le trafic réseau circule, mais ils répondent à des besoins différents. Le découpage en sous-réseaux opère à l'intérieur d'un réseau : il divise un grand réseau en plusieurs réseaux plus petits, confine le trafic local et facilite la gestion des performances et de la sécurité.

Un VPN, en revanche, protège le trafic lors de son transit entre les réseaux. Il chiffre les données et les achemine via un tunnel sécurisé, les protégeant ainsi contre toute interception ou altération pendant leur acheminement vers leur destination.

Ensemble, ils créent une protection à plusieurs niveaux : le découpage en sous-réseaux pour l'organisation interne et un VPN pour les connexions externes sécurisées. Associée à de bonnes pratiques de sécurité réseau, cette approche contribue à protéger le trafic tant interne qu'externe au sein de l'infrastructure d'une organisation.

Comment trouver mon masque de sous-réseau ?

Même si les masques de sous-réseau sont souvent gérés automatiquement, savoir où trouver le vôtre peut vous aider à résoudre certains problèmes réseau courants, comme diagnostiquer des connexions lentes, résoudre des conflits d'adresses IP ou configurer manuellement un réseau domestique.

Pour vérifier votre masque de sous-réseau, vous pouvez ouvrir les paramètres réseau de votre appareil ou utiliser une simple commande système.

Procédure pour Windows

1. Ouvrez Command Prompt (l'invite de commande) (appuyez sur la touche Windows, tapez Command Prompt (« Invite de commande »), puis cliquez dessus).
   
2. Tapez ipconfig /all et appuyez sur Entrée.
   
3. Recherchez Subnet Mask (Masque de sous-réseau) sous votre carte réseau active pour voir la valeur.
   

Si vous souhaitez modifier manuellement votre masque de sous-réseau, vous pouvez le faire via le Centre Réseau et partage. Sélectionnez Change adapter settings (Modifier les paramètres de la carte), cliquez avec le bouton droit sur votre connexion, puis sélectionnez Properties (Propriétés). Sélectionnez ensuite Internet Protocol Version 4 (TCP/IPv4) (Protocole Internet version 4 (TCP/IPv4)) et saisissez manuellement le masque de sous-réseau correct.

Instructions pour macOS

1. Ouvrez les System Settings (Réglages système) dans le menu Apple.
   
2. Sélectionnez Network (Réseau) dans la barre latérale, puis choisissez Wi-Fi.
   
3. Cliquez sur Details (Détails).
   
4. Ouvrez l'onglet TCP/IP : vous trouverez votre masque de sous-réseau sous votre adresse IP.
   

Pour modifier ce paramètre, vous pouvez ouvrir le menu déroulant Configure IPv4 (Configurer IPv4) dans le même menu, sélectionner Manually (Manuellement), puis saisir le masque de sous-réseau correct.

Instructions pour iOS

1. Ouvrez les Settings (Réglages) sur votre iPhone ou iPad, puis appuyez sur Wi-Fi.
   
2. Sélectionnez votre réseau actuel.
   
3. Faites défiler vers le bas pour voir votre masque de sous-réseau, indiqué sous l'adresse IP.
   

Pour le modifier, appuyez sur Configure IPv4 > Manually (Configurer l'IP > Manuel), puis saisissez le masque de sous-réseau manuellement.

Instructions pour Android

1. Dans les Settings (Paramètres), accédez à Network & Internet (Réseau et Internet), puis appuyez sur Internet.
   
2. Sélectionnez le réseau auquel vous êtes connecté, puis appuyez sur l'icône en forme d'engrenage (ou sur Advanced (Avancé) sur certaines anciennes versions d'Android) pour afficher les détails de la connexion.
   
3. Votre masque de sous-réseau s'affichera en même temps que l'adresse IP.
   

Pour modifier ces paramètres, appuyez sur l'icône en forme de crayon, ouvrez les IP settings (paramètres IP), passez de DHCP to Static (DHCP à Statique), puis saisissez manuellement le masque de sous-réseau ou la longueur du préfixe corrects.

Masques de sous-réseau courants et leur signification

Tous les masques de sous-réseau n'ont pas la même fonction. Certains sont conçus pour de petits réseaux locaux, tandis que d'autres sont destinés à des installations plus importantes comptant des milliers d'appareils.

Aujourd'hui, les masques de sous-réseau sont souvent écrits en utilisant la notation CIDR (Classless Inter-Domain Routing), qui indique simplement combien de bits de l'adresse IP sont utilisés pour le réseau. Par exemple, /24 signifie que les 24 premiers bits sont réservés au réseau, c'est-à-dire l'équivalent du masque de sous-réseau 255.255.255.0.

Le CIDR et les masques de sous-réseau traditionnels décrivent la même chose ; le CIDR est simplement une manière plus moderne et plus compacte de la représenter.

Explication du masque de sous-réseau /24 (255.255.255.0)

Le masque de sous-réseau /24, noté 255.255.255.0, permet de créer 256 adresses au total, dont 254 peuvent être attribuées à des appareils après avoir réservé les adresses de réseau et de diffusion. C'est l'un des masques les plus couramment utilisés pour les réseaux locaux, car il offre suffisamment d'espace pour des dizaines, voire des centaines d'appareils.

Autres masques de sous-réseau courants

Les masques de sous-réseau ne se limitent pas à /24. Un masque /16 (255.255.0.0) comprend plus de 65 000 adresses dans un seul sous-réseau, ce qui en fait une solution idéale lorsque des milliers d'appareils doivent partager le même réseau.

À l'opposé, un masque /30 (255.255.255.252) ne fournit que quatre adresses, dont deux sont utilisables pour des appareils. Ce masque était couramment utilisé pour les liaisons point à point, où seuls deux appareils (comme des routeurs) doivent communiquer. Par la suite, le sous-réseau /31 (255.255.255.254) a été introduit pour optimiser l'utilisation des adresses dans les liaisons point à point, permettant ainsi d'utiliser les deux adresses IP et éliminant le besoin d'adresses réseau et de diffusion distinctes dans ce cas précis.

D'autres tailles de sous-réseaux plus petites, comme /25 ou /26, divisent davantage un réseau /24 en segments plus petits, réduisant ainsi le nombre d'adresses hôtes disponibles tout en améliorant le contrôle et en réduisant le trafic local.

Historiquement, un masque /8 (255.0.0.0) était la valeur par défaut pour les réseaux de classe A, offrant plus de 16 millions d'adresses dans un seul bloc. Ces allocations importantes étaient courantes aux débuts d'Internet, mais elles étaient inefficaces. Les réseaux modernes utilisent le CIDR pour allouer les plages d'adresses IP de manière plus efficace ; cela permet un découpage en sous-réseaux flexible, réduit le gaspillage d'espace d'adressage et simplifie le routage. C'est devenu la norme pour exprimer les masques de sous-réseau en IPv4 et en IPv6.

Voici un résumé des masques de sous-réseau courants :

Concepts avancés de découpage en sous-réseaux

Si la compréhension des masques de sous-réseau de base, tels que /24 ou /16, suffit souvent pour saisir comment les réseaux sont segmentés, il existe des concepts plus avancés qui permettent aux réseaux de s'adapter à l'évolution des besoins tout en conservant leur efficacité.

Classes IP (A à E) et masques de sous-réseau

Avant que le CIDR ne devienne la norme, les adresses IP étaient regroupées en classes d’adresses IP fixes. Chaque classe était définie par les premiers bits de l’adresse IP et disposait d’un masque de sous-réseau par défaut ainsi que d’une plage spécifique d’adresses possibles.

Ces classes étaient intégrées de manière fixe dans les premiers équipements réseau, de sorte que la taille d’un réseau était déterminée automatiquement en fonction de l’adresse IP elle-même. Cela entraînait souvent un gaspillage d'espace IP ; par exemple, une entreprise pouvait se voir attribuer un réseau de classe B entier comprenant plus de 65 000 adresses alors qu'elle n'en avait besoin que de quelques centaines. Le système manquait également de flexibilité, car les administrateurs ne pouvaient pas ajuster la taille des réseaux en fonction de leurs besoins.

Le CIDR a résolu ce problème en permettant de définir n'importe quelle taille de sous-réseau à l'aide d'une longueur de préfixe (par exemple, /16), quel que soit le numéro de départ de l'adresse IP. Alors que les masques de classe traditionnels correspondent aux blocs CIDR courants (par exemple, classe A = /8, B = /16, C = /24), le CIDR n'est pas lié par les règles de classe.

Aujourd'hui, l'adressage par classe est largement obsolète, mais les anciennes classes restent utiles à comprendre lorsqu'on traite avec des systèmes hérités ou de la documentation historique.

Masques de sous-réseau IPv6

IPv6 est la nouvelle version du protocole Internet, conçue pour remplacer IPv4 et étendre l'espace d'adressage disponible. Il utilise des adresses de 128 bits, ce qui permet d'aller bien au-delà des quelque 4 milliards d'adresses possibles avec IPv4 et permet à Internet de continuer à se développer à mesure que de nouveaux appareils se connectent.

IPv6 n'utilise pas du tout de masques de sous-réseau ; il s'appuie plutôt sur une longueur de préfixe qui précise combien de bits de l'adresse définissent le réseau. Par exemple, 2001:db8::/32 signifie que les 32 premiers bits représentent le réseau, tandis que les bits restants sont disponibles pour créer des sous-réseaux et attribuer des adresses aux appareils.

Ce système facilite considérablement la division ou la fusion de réseaux. Au lieu de calculer des masques de sous-réseau, des adresses de diffusion ou des plages d'hôtes utilisables, il suffit d'ajuster la longueur du préfixe pour diviser ou fusionner les réseaux selon les besoins. IPv6 n'utilise pas non plus d'adresses de diffusion distinctes ; le multicast (ou multidiffusion) remplace cette fonction, ce qui simplifie encore davantage la gestion du réseau.

En pratique, un /64 est la taille standard d'un sous-réseau IPv6 et le minimum requis pour prendre en charge la configuration automatique d'adresse sans état (SLAAC), qui permet aux appareils de générer automatiquement leurs propres adresses IP. La plupart des fournisseurs d'accès Internet attribuent au moins un /64, et souvent un bloc plus grand tel qu'un /48, qui peut être divisé en jusqu'à 65 536 sous-réseaux /64 individuels, ce qui est suffisant pour des réseaux locaux (LAN) distincts, des réseaux invités, des VPN ou des segments de l'Internet des objets (IoT).

Découpage en sous-réseaux dans les réseaux domestiques avec des routeurs VPN

Chez vous, le découpage en sous-réseaux permet de regrouper les appareils en petits groupes plutôt que de tout regrouper sur un seul grand réseau. Il est ainsi plus facile de séparer les appareils professionnels, les téléviseurs connectés ou les gadgets IoT dans leurs propres segments, tout en conservant la connexion via le même routeur.

Lors du découpage en sous-réseaux, gardez à l'esprit que toutes les adresses d'un sous-réseau ne sont pas utilisables. La première et la dernière adresse de chaque sous-réseau sont réservées et ne peuvent donc pas être attribuées à des appareils. Cette règle simple s'applique aussi bien aux installations domestiques qu'aux grands réseaux d'entreprise.

Certains routeurs domestiques avancés, tels que le routeur ExpressVPN Aircove, prennent en charge les connexions VPN au niveau du routeur. Cela vous permet de protéger les appareils qui ne prennent pas directement en charge les applications VPN, comme les consoles de jeux ou les téléviseurs connectés. Avec une configuration de ce type, le découpage en sous-réseaux permet d'organiser votre réseau en zones dédiées au travail, aux invités ou à l'IoT, tout en acheminant l'ensemble du trafic via un tunnel VPN chiffré.

FAQ : questions fréquentes sur les masques de sous-réseau