子网划分的核心是确保网络可用性，而非单纯计算；广播地址与网络地址不可分配给主机或网关，/26子网可用地址仅为192.168.1.1–192.168.1.62共62个，子网起始地址必为64的整数倍，ACL/OSPF中须用通配符掩码而非子网掩码。

子网划分不是纯数学题，而是网络可用性的基础。算错一个掩码、配错一个地址，轻则设备失联，重则整段业务中断。真正的问题往往不出在“不会算”，而在于对边界规则、协议逻辑和设备行为的理解偏差。

广播地址与网络地址误配

这两个地址不能分配给任何主机或网关接口，但新手常把它们当“普通IP”使用。

• 网络地址（主机位全0）用于标识整个子网，例如192.168.1.0/26中的192.168.1.0，若设为某台服务器IP，交换机将拒绝转发发往该地址的单播流量
• 广播地址（主机位全1）如192.168.1.63/26，一旦被配置为网关，会导致ARP请求泛洪、多台主机响应同一单播包，引发通信混乱
• 可用地址范围必须严格排除首尾：/26子网含64个地址，实际可用仅192.168.1.1–192.168.1.62，共62个

子网掩码与IP不匹配

仅看IP前三段相同≠同网段。是否互通，取决于IP与掩码“按位与”后得出的网络地址是否一致。

• 错误示例：主机IP192.168.14.110/24，虚拟机却配成192.168.15.124/24 → 网络地址分别为192.168.14.0和192.168.15.0，不在同一子网
• 正确做法：用二进制“与”运算验证，或借助ipcalc、ipaddress模块快速校验
• 特别注意NAT模式下虚拟网络设置：VMware中子网IP（如192.168.14.0/24）必须与虚拟机IP在同一网段，且网关应设为该子网第一个可用地址（如192.168.14.1）

子网边界计算错误

/26不是“0–64”，而是“0–63”和“64–127”两个连续块；其中192.168.1.64是第二个子网的网络地址，不可用作主机IP。

• 常见误判：认为/26每个子网可用地址是1–64，结果把192.168.1.64分配给服务器，导致无法通信
• 子网块大小 = 2^主机位数，例如/26主机位=6 → 块大小=64 → 子网起始地址必为64的整数倍（0、64、128、192…）
• VLSM规划时务必从大到小分配：先满足100人部门（/25），再切50人（/26），最后20人（/27），避免地址碎片和路由无法汇总

ACL/OSPF中混淆子网掩码与通配符掩码

防火墙规则或路由协议中写掩码，用的不是子网掩码，而是反向掩码（Wildcard Mask）。

• 错误写法：rule permit source 192.168.1.0 255.255.255.0（这是子网掩码，设备会当作“仅匹配192.168.1.0这一个IP”）
• 正确写法：rule permit source 192.168.1.0 0.0.0.255（通配符掩码=255.255.255.255 − 子网掩码）
• 口诀：子网掩码标“固定位”，通配符掩码标“可变位”；0表示必须匹配，1表示忽略