子网掩码算错最直接表现是设备误判通信范围：该直连却发给网关，或该走网关却尝试直连；排查核心是比对IP与掩码按位与得出的网络地址是否一致，而非仅看IP数值是否相近。
子网掩码算错，最直接的表现是设备“以为自己在本地网，其实要走网关”，或者“以为对方在远程网，其实就在隔壁”。这不是连不上那么简单，而是网络层判断逻辑崩了。排查核心就一条：不看IP数字像不像，只看网络地址算得对不对。
先确认两台设备是否真属不同子网
很多人一看到 IP 不同就断定跨网段，但真正决定是否跨子网的，是网络地址（IP 与掩码按位与的结果），不是 IP 本身。
- 在每台设备上运行 ipconfig（Windows） 或 ip a（Linux），记下 IP 和子网掩码（或 CIDR 前缀，如 /24、/21）
- 把 IP 和掩码都转成二进制，做按位与运算；或用工具快速计算：比如 202.116.1.12/21 → 网络地址是 202.116.0.0（因为 /21 对应掩码 255.255.248.0，第三字节块大小为 8）
- 对比两台设备的网络地址：相同 → 应该二层直通；不同 → 必须依赖三层路由；若一个算出 192.168.5.0，另一个算出 192.168.5.0/16（即 192.168.0.0），说明掩码不一致，通信必然异常
检查掩码配置是否统一且合理
同一局域网内，所有终端、网关、交换机 SVI 接口的子网掩码必须一致。差一位（比如 /24 vs /25），就可能一半设备认对方是本地，另一半认是远程。
- 登录网关设备，查看其接口 IP 配置中的掩码，是否和终端上报的一致
- 检查终端是否被策略推送了错误掩码（如组策略、DHCP Option 1、MDM 配置）
- 验证掩码是否满足实际需求：例如分配 30 台主机却用了 /27（30 个可用地址），看似够用，但没留余量；若后续加设备或启用广播服务，/27 就会爆满，引发 ARP 冲突或 IP 耗尽
验证通信路径是否符合掩码预期
算对了网络地址，还要看行为是否匹配。这是最易被忽略的实操验证环节。
- 在源主机 ping 网关：能通 → 说明到网关的二层可达；不通 → 检查 ARP 缓存里网关 MAC 是否正确（arp -a | grep 网关IP），是否显示 incomplete
- 在源主机 ping 同网段另一台主机：能通 → 子网划分生效；不通但网关能通 → 很可能是掩码配错导致系统误判目标为远程，发包去了网关而非直发 MAC
- 在网关设备上抓包（如 tcpdump -i vlan10 host 192.168.5.20），确认它是否收到了来自本子网的 ICMP 请求——如果没收到，说明源主机压根没往这个接口发包，进一步印证掩码误判
修复与预防建议
改掩码不是改一个地方就完事。要同步更新所有相关节点，否则会引发更隐蔽的单向通信问题。
- 统一修改：终端（DHCP 或静态配置）、网关接口、交换机 VLAN 接口（SVI）、防火墙区域接口、甚至容器网络（如 Docker Compose 中的 subnet: 172.20.0.0/24）
- 避免使用边界值掩码（如 /30、/31）做终端子网，除非明确用于点对点链路；日常办公或服务器子网推荐 /24、/25、/26，留出管理与扩展空间
- 上线前做“同子网判定测试”：随机选两台设备，手动计算网络地址并比对；再用 ping + arp -a 观察实际行为是否一致
