Subnetting Explained: How IP Subnet Masks Divide a Network
2026-09-05 · undefined min
Every device on a network needs an IP address, but those addresses are not handed out one by one. Networks are split into blocks called subnets, and the tool that defines the boundary of each block is the subnet mask. Understanding subnetting is what turns a confusing string of numbers into a clear map of your network.
In this guide we break down how a subnet mask works, what CIDR notation means in practice, how to count the usable hosts in a subnet, and how large networks are carved up or merged together. By the end you will be able to read a subnet like a network engineer.
1981
IPv4 and the birth of classful addressing
RFC 791 defines IPv4 and introduces the classful scheme, dividing addresses into fixed A, B and C classes with rigid network boundaries.
1993
CIDR replaces the class system
RFC 1519 introduces Classless Inter-Domain Routing, allowing arbitrary prefix lengths and ending the wasteful fixed-class approach.
1995
Variable-length subnet masks
VLSM lets a single network use different mask sizes, making address allocation far more flexible and efficient.
Today
Careful subnetting under IPv4 scarcity
With IPv4 exhausted, precise subnetting is essential for conserving addresses, while IPv6 brings a return to generous address space.
What is a subnet mask?
A subnet mask is a 32-bit number that sits next to an IP address and decides which part identifies the network and which part identifies the host. Bits set to 1 mark the network portion, while bits set to 0 mark the range of hosts available within that network. Two devices that share the same network part are on the same subnet.
The mask is written like an IP address, for example 255.255.255.0, and it is the router's guide to how far traffic can travel before it must be forwarded elsewhere. Devices on the same subnet can talk directly, while traffic to another subnet is handed to a router. Changing the mask reshapes the whole network.
From masks to CIDR notation
CIDR notation expresses the same information as a mask, but far more compactly. Instead of 255.255.255.0 you write /24, where the number is the count of 1-bits in the mask. This is why a /24, a /16 and a /8 correspond to different network sizes, from a small office to the public internet.
The slash number tells you how many bits are fixed for the network. A /24 leaves 8 bits for hosts, a /16 leaves 16, and a /8 leaves 24. More network bits mean fewer hosts, so choosing a prefix is a trade-off between the number of subnets you need and the hosts each one must hold.
How a /24 subnet mask splits an address into a network part and a host part.
How many hosts can a subnet hold?
To count usable hosts, you first work out the number of host bits by subtracting the prefix length from 32, then raise two to that power. A /24 has 8 host bits, so it covers 2^8, or 256, total addresses. The formula 2^hostbits gives the whole block, but not every address can be assigned to a device.
The very first address is the network identifier and the very last is the broadcast address, so the usable hosts are 2^hostbits minus 2. A /24 therefore holds 254 usable hosts. For a point-to-point link a /30 is the common choice, leaving exactly two addresses so each end gets one.
Supernetting: merging networks back together
Supernetting is the opposite of subnetting. Instead of carving one block into smaller pieces, it merges several contiguous subnets into one larger block by borrowing bits back from the host portion. This is how providers summarize many customer routes into a single advertised network, keeping the global routing table small and efficient.
The practical benefit is route summarization: fewer routes mean smaller tables and faster forwarding across the internet. A classic example is aggregating two /24 networks into a single /23, which covers both with one entry. Used well, subnetting and supernetting let you design networks that scale cleanly without wasting address space.
In sintesi
Subnetting is one of the most useful skills for anyone working with networks. Once you can read a mask and a CIDR prefix, you understand how IP space is organized, how many devices a subnet supports, and how large networks are summarized into manageable routes.
Il tuo indirizzo IP pubblico e la posizione di rete, rilevati automaticamente.
Si carica automaticamente all'apertura di NetChecks — nessun dato da inserire. Usa il pulsante Aggiorna dopo aver cambiato rete o riconnesso la VPN.
Il tuo browser
Scansione All-in-One
Esegue in un'unica passata tutti i controlli rilevanti su un IP o hostname: DNS, whois, ping, traceroute, una scansione delle porte note (1-1024), header HTTP e certificato SSL.
Inserisci un dominio o un indirizzo IP ed esegui la scansione per controllare DNS, whois, ping, traceroute, porte comuni, intestazioni HTTP e certificato SSL in un solo passaggio.
La maggior parte dei controlli viene eseguita in parallelo - di solito termina in circa 30 secondi, di più se il target è lento o irraggiungibile.
Il passaggio di scansione delle porte viene eseguito solo se la casella di consenso sopra è selezionata - tutti gli altri controlli vengono eseguiti comunque.
Ping
Invia richieste echo ICMP a un host per verificare raggiungibilità e latenza.
Inserisci un nome host o un indirizzo IP e premi Ping per inviare richieste ICMP echo e misurare la latenza di andata e ritorno.
Scopri di più su Ping
Cos'è
Ping invia pacchetti ICMP Echo Request a un host e misura il tempo impiegato dai pacchetti ICMP Echo Reply per tornare indietro. È il test di connettività di rete più elementare che esista: risponde esattamente a una domanda, "questa macchina è raggiungibile, e con quale rapidità?". Il protocollo ICMP (RFC 792) è stato progettato nel 1981 specificamente per trasportare messaggi di controllo e diagnostica sulle reti IP, al di fuori di qualsiasi traffico applicativo - Ping ne è l'implementazione più nota e universalmente disponibile, presente praticamente su ogni sistema operativo e dispositivo di rete fin dalle prime versioni.
Come funziona
Ogni pacchetto ICMP trasporta un campo TTL (Time To Live) decrementato di uno a ogni router attraversato; se raggiunge zero prima di arrivare al target, il pacchetto viene scartato e un errore viene rimandato al mittente. Il tempo di andata e ritorno (RTT), misurato in millisecondi, riflette la latenza di rete cumulativa sull'intero percorso, non solo l'ultimo tratto vicino al target - un punto spesso frainteso, poiché un risultato di ping lento può avere la sua causa in qualsiasi punto del percorso, non necessariamente vicino al server testato. Un ping in genere invia più pacchetti di seguito anziché uno solo, il che permette di distinguere un picco di latenza occasionale da un problema ricorrente e di calcolare un tasso di perdita di pacchetti sul campione.
Interpretare i risultati
Un RTT basso e stabile - pochi millisecondi su una rete locale, tra 10 e 50 ms per una destinazione nello stesso paese, e notevolmente di più per un collegamento intercontinentale - indica una connessione sana. Anche una piccola perdita di pacchetti (oltre l'1-2%) è particolarmente dannosa per usi sensibili alla latenza come VoIP o sessioni remote interattive, dove ogni pacchetto perso si manifesta come un'interruzione o un'interferenza udibile. Una latenza molto variabile da un pacchetto all'altro (jitter) è spesso, per questi stessi usi, un problema maggiore di una latenza elevata ma perfettamente stabile. "Richiesta scaduta" significa che non è arrivata alcuna risposta entro il tempo previsto - l'host potrebbe essere effettivamente offline, un firewall potrebbe bloccare silenziosamente l'ICMP, oppure un percorso potrebbe essere interrotto in qualche punto del tragitto; "Destinazione irraggiungibile" è diverso e più informativo: un router intermedio ha esplicitamente rimandato indietro un messaggio dicendo di non essere riuscito a inoltrare il pacchetto, il che aiuta a circoscrivere dove si trovi realmente il problema.
Errori comuni
L'errore di interpretazione più comune è concludere che un host sia "offline" nel momento in cui un ping fallisce, quando in realtà moltissimi server e dispositivi - specialmente dietro un firewall ben configurato, o ospitati presso i grandi provider cloud - bloccano deliberatamente l'ICMP in ingresso per policy, pur essendo pienamente operativi e raggiungibili sui loro servizi reali (HTTP, un database, ecc.). L'assenza di risposta a un ping è quindi una prova significativa di inattività solo se combinata con altri segnali, come il fatto che anche l'applicazione stessa non risponda. Al contrario, un ping riuscito non garantisce affatto che il servizio applicativo ospitato su quella macchina funzioni correttamente - sono due livelli dello stack di rete del tutto indipendenti.
Quando usarlo
La prima cosa da verificare prima di escalare un ticket: la macchina risponde almeno, prima di indagare oltre? Confermare la connettività dopo una modifica a una regola firewall o a una tabella di routing, per assicurarsi che la modifica non abbia interrotto l'accesso. Stabilire una misurazione di latenza di riferimento prima di un rollout VoIP o di un failover di un collegamento operatore, in modo da avere un punto di confronto oggettivo se in seguito arrivano lamentele sulla qualità delle chiamate. Un controllo di stato periodico e leggero per un MSP che monitora più sedi cliente in parallelo, sempre come complemento - mai come sostituto - di un monitoraggio più approfondito a livello applicativo.
Traceroute
Traccia il percorso di rete (hop per hop) verso un host di destinazione.
Inserisci un nome host o un indirizzo IP ed esegui la scansione per vedere ogni salto di rete tra questo server e la destinazione, con la latenza di ciascun salto.
Ricerca DNS (Nslookup)
Interroga i record DNS: A, AAAA, MX, TXT, NS, CNAME, SOA, PTR, SRV, CAA.
Inserisci un dominio, scegli un tipo di record (A, AAAA, MX, TXT, NS, CNAME, SOA, PTR, SRV o CAA) ed esegui la ricerca.
Whois
Cerca le informazioni di registrazione per un dominio o un indirizzo IP.
Inserisci un dominio o un indirizzo IP per consultarne i dati di registrazione: registrar, organizzazione proprietaria e date importanti.
Controllo blacklist
Verifica se un indirizzo IP o un dominio è presente in blacklist pubbliche anti-spam/abuso (DNSBL).
Inserisci un indirizzo IPv4 o un dominio ed esegui per controllare contemporaneamente 7 blacklist pubbliche (DNSBL/RBL) - ciascuna viene mostrata come elencata, non elencata o controllo non riuscito.
Scansione porte TCP
Verifica se le porte TCP sono aperte su un host o IP: porte comuni, un elenco personalizzato o l'intero intervallo 1-65535.
Inserisci un host o un IP, scegli porte comuni, un elenco personalizzato o l'intervallo completo, quindi esegui la scansione per vedere quali porte TCP rispondono.
Una scansione dell'intero intervallo può richiedere fino a ~100 secondi. Le scansioni grandi (più di 100 porte, inclusi intervalli/elenchi personalizzati) sono limitate a 1 al minuto per visitatore.
Porte aperte (0)
Analizzatore di header HTTP
Recupera lo stato della risposta HTTP e gli header per un URL.
Inserisci un URL per ottenere il suo codice di stato HTTP e tutte le intestazioni di risposta inviate dal server.
Verifica certificato SSL/TLS
Esamina il certificato TLS di un host: emittente, date di validità e giorni rimanenti.
Inserisci un nome host per ispezionare il suo certificato TLS: emittente, date di validità e giorni rimanenti prima della scadenza.
Ricerca Geo-IP
Cerca la posizione geografica e le informazioni di rete per un indirizzo IP. Lascia vuoto per cercare il tuo indirizzo IP pubblico.
Inserisci un indirizzo IP qualsiasi, oppure lascia vuoto per cercare il tuo, per vedere la posizione approssimativa e le informazioni di rete/ISP.
Calcolato interamente nel tuo browser — nessun dato inviato al server.
Inserisci un indirizzo IP e un prefisso CIDR (es. 192.168.1.0/24) per calcolare all'istante l'intervallo di rete, l'indirizzo di broadcast e il numero di host utilizzabili.
Test di velocità
Test di base della velocità di download/upload rispetto a questo server (la precisione dipende dalla connessione in uplink del server stesso).
Premi Avvia per misurare la velocità di download e upload verso questo server. La precisione dipende dalla connessione di questo server.
Dizionario dei codici paese
Codici paese ISO 3166-1 alpha-2 — ricerca eseguita interamente nel tuo browser.
Cerca o sfoglia l'elenco dei codici paese ISO 3166-1 alpha-2, ricercato interamente nel tuo browser.
Paese
Codice ISO
Dizionario dei prefissi telefonici
Prefissi internazionali per paese — ricerca eseguita interamente nel tuo browser.
Cerca o sfoglia i prefissi telefonici internazionali per paese, ricercati interamente nel tuo browser.
Paese
Prefisso
Orologio mondiale
Scegli un fuso orario per vedere l'ora attuale — trascina il globo per farlo girare.
Scegli un fuso orario dall'elenco, oppure trascina il globo, per vedere l'ora attuale in quel luogo.
Il tuo orario
--:--:--
—
—
Orario selezionato
--:--:--
—
—UTC±00:00
Differenza rispetto a te—
—
Trascina per ruotare il globo.
Stato della rete mobile francese
Siti di antenne mobili guasti o in manutenzione in Francia, per operatore (Orange, Free, SFR, Bouygues Telecom), dai dati pubblici dell'ARCEP. Istantanea aggiornata una volta al giorno dall'ARCEP - non un flusso minuto per minuto.
Sfoglia i dati sui guasti delle antenne mobili e della fibra per operatore francese — nessun dato da inserire, aggiornato automaticamente dai dati pubblici di Arcep.
Fonte: ARCEP, dataset "Sites indisponibles", pubblicato con Licence Ouverte / Etalab 2.0 - riuso commerciale esplicitamente consentito, a differenza dei dati IODA/CAIDA usati in precedenza in questa scheda. Il badge Normale/Attenzione/Allerta è una stima interna (numero di guasti odierno rispetto alla mediana dei giorni precedenti), non una classificazione ufficiale dell'ARCEP. Link alle fonti qui sotto.
Dipartimenti più colpiti
Numero di siti attualmente guasti o in manutenzione, per dipartimento. Fai clic su un operatore sopra per filtrare.
Qualità della rete in fibra (FTTH) per operatore: tasso di guasti segnalati e tasso di errore di connessione, dai dati pubblici dell'ARCEP. Indicatori mensili, media mobile su 6 mesi - non un flusso in tempo reale come la sezione mobile.
Fonte: ARCEP, dataset "Qualité des réseaux en fibre optique", pubblicato con Licence Ouverte / Etalab 2.0 - riuso commerciale esplicitamente consentito. Link alle fonti qui sotto.
Per operatore (gruppo madre)
Medie sugli ultimi 6 mesi disponibili, per gruppo madre dell'operatore infrastrutturale.
NetChecks è fornito esclusivamente per scopi legittimi di diagnostica di rete ed educativi, su sistemi, domini e indirizzi IP di tua proprietà o per i quali sei esplicitamente autorizzato a effettuare test.
L'esecuzione di scansioni delle porte, ricerche DNS/whois, traceroute o altri controlli su sistemi di terze parti senza autorizzazione potrebbe violare le leggi sull'uso improprio dei computer nella tua giurisdizione (ad esempio il Computer Fraud and Abuse Act negli USA, la "Loi Godfrain" in Francia, o normative locali equivalenti). Sei l'unico responsabile di assicurarti di avere il diritto di testare qualsiasi target inserito qui.
Questo sito e i suoi risultati sono forniti "così come sono", senza garanzia di alcun tipo. Il gestore di questo sito non si assume alcuna responsabilità per eventuali danni diretti, indiretti o consequenziali, conseguenze legali o usi impropri derivanti dall'uso di questo sito.
Le richieste sono limitate in frequenza per prevenire abusi. L'operatore di questa istanza può abilitare facoltativamente la registrazione dell'attività delle richieste - in tal caso, ogni richiesta a uno strumento (il tuo indirizzo IP, la data/ora, lo strumento utilizzato e l'obiettivo/query inserito) potrebbe essere registrata in un database per finalità di sicurezza, prevenzione degli abusi e analisi dell'utilizzo. Questa funzione è disattivata per impostazione predefinita. Utilizzando questo sito accetti questi termini; se non sei d'accordo, non utilizzarlo.
L'uso programmatico (API) di questo sito è soggetto agli stessi termini, incluso il requisito di autorizzazione sopra indicato.
Invia feedback
Segnala un problema, lascia un commento o suggerisci una nuova funzionalità.
Questo sito utilizza annunci pubblicitari e, se accetti, cookie dei partner pubblicitari per contribuire a finanziare l'hosting. Puoi rifiutare e continuare a usare tutti gli strumenti senza pubblicità.