IPv4, CIDR et plans d’adressage

Parcours « Administrateur système » — étape 03/15

← 02Systemd : gérer services, unités et journal sous Linux04DNS, DHCP, NTP : services d'infrastructure réseau →

IPv4, CIDR et plans d’adressage

Une adresse IPv4 (Internet Protocol version 4) paraît anodine, quatre nombres et trois points, mais le routage, le filtrage, la traduction d’adresses et la lecture des journaux reposent sur elle. Cette fiche explique comment lire une adresse et son préfixe, comment calculer et regrouper des sous-réseaux avec CIDR (Classless Inter-Domain Routing), et comment bâtir un plan d’adressage qui serve la sécurité au lieu de la contrarier.

Explication de la marmotte

Un plan d’adressage ressemble à la numérotation des rues et des maisons d’une ville nouvelle : bien pensée dès le départ, elle permet de trouver chacun, de regrouper les quartiers et d’agrandir sans tout renuméroter. Mal pensée, deux maisons finissent par porter la même adresse et le facteur renonce.

→ Lire l’explication complète de la marmotte

Lire une adresse IPv4

Trente-deux bits en quatre morceaux

Une adresse IPv4 est un nombre de 32 bits. Pour épargner les yeux humains, on l’écrit en notation décimale pointée : quatre octets de 8 bits, chacun converti en décimal entre 0 et 255. L’adresse 192.168.10.77 vaut donc, en binaire :

192       .168       .10        .77
11000000  .10101000  .00001010  .01001101

Les bits d’un octet pèsent, de gauche à droite, 128, 64, 32, 16, 8, 4, 2 et 1 : 77 = 64 + 8 + 4 + 1, soit 01001101. L’exercice paraît scolaire jusqu’au jour où il faut comprendre pourquoi .77 et .130 ne sont pas dans le même sous-réseau.

Masque, préfixe et frontière réseau

Toute adresse se divise en deux parties : les bits de gauche désignent le réseau, ceux de droite désignent l’hôte dans ce réseau. Le masque indique où passe la frontière, sous forme d’une suite de 1 (partie réseau) suivie de 0 (partie hôte). Le préfixe dit la même chose en comptant les 1 : 255.255.255.192 et /26 sont deux écritures d’une même frontière, placée après le 26e bit.

Un ET logique entre l’adresse et le masque donne l’adresse réseau. Pour 192.168.10.77/26 :

adresse   01001101   (77)
masque    11000000   (192)
ET        01000000   (64)    → réseau 192.168.10.64/26

Dans chaque sous-réseau, la première adresse (tous les bits hôte à 0) identifie le réseau, la dernière (tous les bits hôte à 1) est l’adresse de diffusion (broadcast). Il reste 2^(32 − préfixe) − 2 adresses pour les machines. Pour ce /26 : réseau 192.168.10.64, hôtes de .65 à .126, diffusion .127, soit 62 hôtes.

Un raccourci évite le binaire : la taille du bloc dans l’octet « coupé » vaut 256 moins la valeur du masque dans cet octet. Avec /20, le masque est 255.255.240.0, le bloc vaut 16 sur le troisième octet. L’adresse 172.20.45.130/20 tombe dans le bloc 32 à 47 : réseau 172.20.32.0, diffusion 172.20.47.255, 4 094 hôtes utilisables.

Deux exceptions : le /31 des liaisons point à point, défini par le RFC (Request for Comments) 3021, utilise ses deux adresses pour des hôtes, faute de foule à qui diffuser ; le /32 désigne une machine unique.

La passerelle par défaut

La passerelle par défaut est l’adresse du routeur auquel une machine confie tout paquet destiné à un réseau qui n’est pas le sien. Elle doit appartenir au sous-réseau de l’interface ; une passerelle en 10.0.2.1 pour un poste en 10.0.1.20/24 est injoignable, et le poste ne parle plus qu’à ses voisins immédiats. Qu’elle soit en .1 ou en .254 importe peu, pourvu que la convention soit la même partout.

Le masque, la passerelle et le serveur DNS (Domain Name System) sont trois paramètres distincts, souvent distribués ensemble par DHCP (Dynamic Host Configuration Protocol), ce qui explique qu’on les confonde. Le masque dit qui est local, la passerelle par où sortir, le DNS comment traduire un nom : un poste qui joint 1.1.1.1 mais pas exemple.org a un problème de DNS, pas de passerelle. La fiche DNS, DHCP, NTP détaille la distribution de ces paramètres.

Les classes, une notion historique

Jusqu’en 1993, la taille d’un réseau se déduisait des premiers bits de l’adresse : classe A (premier octet de 0 à 127, réseau en /8), classe B (128 à 191, /16), classe C (192 à 223, /24), classe D (224 à 239, multidiffusion), classe E (240 à 255, réservée). Ce découpage gaspillait l’espace : une organisation de 300 machines recevait un /16 de 65 534 hôtes, faute de mieux. CIDR, introduit par le RFC 1519 et aujourd’hui décrit par le RFC 4632, a supprimé ce lien entre valeur de l’adresse et longueur du préfixe. Les classes ne survivent que dans le vocabulaire (« un classe C » pour dire un /24). 10.1.2.0/24 est un réseau parfaitement légitime, n’en déplaise à la classe A.

Plages privées, publiques et réservées

Une adresse publique, attribuée via l’IANA (Internet Assigned Numbers Authority) et les registres régionaux, est routée sur Internet. Plusieurs plages échappent à cette règle :

Plage	Préfixe	Nombre d’adresses	Usage	Référence
10.0.0.0 à 10.255.255.255	10.0.0.0/8	16 777 216	Privé	RFC 1918
172.16.0.0 à 172.31.255.255	172.16.0.0/12	1 048 576	Privé	RFC 1918
192.168.0.0 à 192.168.255.255	192.168.0.0/16	65 536	Privé	RFC 1918
127.0.0.0 à 127.255.255.255	127.0.0.0/8	16 777 216	Bouclage (loopback)	RFC 1122
169.254.0.0 à 169.254.255.255	169.254.0.0/16	65 536	Lien local, APIPA	RFC 3927
100.64.0.0 à 100.127.255.255	100.64.0.0/10	4 194 304	Partagé opérateur (CGNAT)	RFC 6598
192.0.2.0/24, 198.51.100.0/24, 203.0.113.0/24	trois /24	3 × 256	Documentation	RFC 5737

Les plages privées du RFC 1918 sont libres d’usage à l’intérieur d’une organisation et ne sont pas acheminées sur Internet ; pour en sortir, il faut une traduction d’adresses, ou NAT (Network Address Translation), traitée dans la fiche NAT, translations et publication. Le piège classique du 172.16.0.0/12 tient à sa borne : 172.32.0.1 est une adresse publique, n’en déplaise à son air de famille.

L’adresse de bouclage 127.0.0.1 désigne la machine elle-même ; le paquet ne quitte jamais la pile réseau. Les adresses APIPA (Automatic Private IP Addressing) en 169.254.x.x sont celles qu’un poste s’attribue tout seul quand aucun serveur DHCP ne lui a répondu. Les voir dans un ipconfig est donc un symptôme, pas une configuration : le poste a cherché un DHCP et ne l’a pas trouvé. Dans les nuages publics, la même plage héberge le service de métadonnées des instances (169.254.169.254), cible prisée des attaques SSRF (Server-Side Request Forgery).

La plage 100.64.0.0/10, dite CGNAT (Carrier-Grade NAT), sert aux opérateurs qui partagent une adresse publique entre de nombreux abonnés. Les plages de documentation, enfin, sont celles des exemples et des supports de formation, précisément parce qu’elles n’appartiennent à personne.

Découper et agréger

Calculer des sous-réseaux

Découper, c’est allonger le préfixe : chaque bit emprunté double le nombre de sous-réseaux et divise leur taille par deux. Un 10.20.0.0/22 (1 024 adresses) se découpe en deux /23, quatre /24 ou huit /25. Rien n’oblige à découper en parts égales : le VLSM (Variable Length Subnet Masking) attribue à chaque besoin un préfixe adapté. Le même /22 peut ainsi donner :

Zone	Préfixe	Plage	Hôtes utilisables
Utilisateurs	10.20.0.0/23	10.20.0.0 à 10.20.1.255	510
Invités	10.20.2.0/24	10.20.2.0 à 10.20.2.255	254
Serveurs	10.20.3.0/25	10.20.3.0 à 10.20.3.127	126
Administration	10.20.3.128/26	10.20.3.128 à 10.20.3.191	62
Objets connectés	10.20.3.192/26	10.20.3.192 à 10.20.3.255	62

La règle d’or du VLSM : on alloue du plus grand au plus petit, et chaque bloc commence sur un multiple de sa propre taille. Un /26 démarre en .0, .64, .128 ou .192, jamais en .100.

Agréger des routes

L’agrégation (ou résumé de routes) fait le chemin inverse : plusieurs préfixes contigus et alignés se résument en un préfixe plus court. Les quatre réseaux 10.20.0.0/24 à 10.20.3.0/24 se résument en 10.20.0.0/22, une seule ligne dans une table de routage ou une règle de pare-feu. En revanche, 10.20.1.0/24 et 10.20.2.0/24, bien que voisins, ne forment pas un /23 : 10.20.0.0/23 couvre 0 et 1, 10.20.2.0/23 couvre 2 et 3. Les regrouper exigerait un /22 qui engloberait aussi deux réseaux étrangers. L’agrégation récompense les blocs alignés par site et par fonction, et punit les allocations au fil de l’eau. La fiche Routage interne et redistribution montre comment ces résumés allègent les protocoles de routage.

Prévoir la croissance

Le /24 par habitude est le travers le plus répandu : chiffre rond, masque facile à taper. Pour douze équipements d’administration, c’est trop ; pour un étage d’utilisateurs avec téléphones et portables, c’est bientôt trop peu. Passer d’un /24 à un /23 suppose que le /24 voisin soit libre et l’alignement favorable, autrement dit qu’il fallait le réserver dès le départ. La bonne pratique consiste à dimensionner sur le besoin à trois ou cinq ans, puis à laisser un bloc de réserve contigu derrière chaque zone appelée à grossir.

Repérer les chevauchements

Deux préfixes se chevauchent si l’un contient l’autre ; c’est le seul cas possible, puisque les blocs CIDR sont alignés. Le test est simple : appliquer le masque le plus court aux deux adresses réseau et comparer. Un réseau interne en 10.0.12.0/24 et un VPC (Virtual Private Cloud) créé en 10.0.0.0/16 se chevauchent : le /16 contient le /24. Une fois le tunnel monté, 10.0.12.5 peut désigner un serveur du siège ou une instance dans le nuage ; le routeur tranche par la route la plus spécifique, ce qui revient souvent à trancher mal.

Les sources de collision sont connues : 192.168.0.0/24 et 192.168.1.0/24, choisis par défaut par la quasi-totalité des box domestiques, que retrouvent les utilisateurs en VPN (Virtual Private Network) depuis chez eux ; 172.17.0.0/16, pont par défaut de Docker ; 172.31.0.0/16, VPC par défaut d’AWS (Amazon Web Services) ; 10.0.0.0/16, proposé par la plupart des assistants de création de réseau cloud. Un plan sérieux évite ces valeurs par défaut et tient un registre central des préfixes, partenaires raccordés compris, contre lequel chaque allocation est vérifiée. Les particularités des réseaux cloud, comme les cinq adresses réservées par sous-réseau chez AWS et Azure, sont détaillées dans Cloud networking et VPC.

Un plan d’adressage utile à la sécurité

Séparer les zones

Un bon plan donne à chaque zone un bloc distinct, dimensionné et aligné : postes, invités, objets connectés ou IoT (Internet of Things), serveurs, DMZ (DeMilitarized Zone, zone démilitarisée) des services exposés, sauvegarde, administration. Voici un exemple pour un site, construit sur 10.40.0.0/16 ; les valeurs sont illustratives et seront adaptées au registre de chaque organisation :

Zone	Préfixe	Plage	Hôtes
Utilisateurs	10.40.0.0/21	10.40.0.0 à 10.40.7.255	2 046
Invités	10.40.8.0/22	10.40.8.0 à 10.40.11.255	1 022
Objets connectés (IoT)	10.40.12.0/23	10.40.12.0 à 10.40.13.255	510
Réserve postes	10.40.14.0/23	10.40.14.0 à 10.40.15.255	510
Serveurs	10.40.16.0/22	10.40.16.0 à 10.40.19.255	1 022
DMZ	10.40.20.0/24	10.40.20.0 à 10.40.20.255	254
Sauvegarde	10.40.21.0/24	10.40.21.0 à 10.40.21.255	254
Administration	10.40.22.0/24	10.40.22.0 à 10.40.22.255	254
Interconnexions (/31)	10.40.23.0/24	128 liaisons point à point	2 par lien
VPN nomades	10.40.24.0/22	10.40.24.0 à 10.40.27.255	1 022
Réserve	10.40.28.0/22	10.40.28.0 à 10.40.31.255	1 022

Le reste du /16, à partir de 10.40.32.0, demeure libre. D’autres /16 de 10.0.0.0/8 sont réservés aux autres sites, au cloud et aux laboratoires, sans recouvrement ; un laboratoire branché « temporairement » sur la production avec le même adressage reste, en pratique, branché pour toujours.

Relier adressage et filtrage

L’intérêt de cet ordonnancement apparaît dans les règles. Utilisateurs, invités, IoT et réserve postes forment exactement 10.40.0.0/20 ; serveurs, DMZ, sauvegarde, administration et interconnexions tiennent dans 10.40.16.0/21 ; l’accès distant occupe 10.40.24.0/21. Une ACL (Access Control List) peut alors dire « le /20 des postes n’atteint le /22 des serveurs que sur les ports applicatifs », « seul le /24 d’administration ouvre des sessions d’administration », « le /24 de sauvegarde ne parle qu’aux agents de sauvegarde », en quelques lignes lisibles. Avec des zones dispersées, chaque règle devient une énumération, et l’énumération est l’antichambre de l’oubli.

Il faut cependant distinguer le plan d’adressage de la politique de filtrage. Le premier attribue des numéros, la seconde décide qui parle à qui : un bloc invités séparé n’empêche rien tant qu’aucun équipement n’applique de règle. L’adressage rend le filtrage simple et vérifiable, il ne le remplace pas ; c’est l’objet de la fiche Filtrage, segmentation et NAC, qui s’appuie aussi sur la séparation en VLAN et trunks.

De même, une adresse privée n’est pas une adresse protégée. Le RFC 1918 garantit seulement que la plage n’est pas routée sur Internet ; il ne dit rien des flux sortants, des tunnels ni d’un poste compromis qui rebondit vers le reste du réseau. Un serveur en 10.40.16.10 est aussi exposé qu’un serveur public dès qu’un attaquant tient un poste du /21 voisin.

VPN et cloud

Le bloc VPN nomades doit éviter les réseaux domestiques probables et les blocs cloud. Les VPC se planifient comme des sites : un bloc réservé par environnement, jamais la valeur par défaut, et une vérification avant tout appairage ou raccordement par VPN, tunnels et bastions. Quand un chevauchement est découvert trop tard, la seule issue rapide est une double traduction d’adresses, qui fonctionne mais rend les journaux mensongers sur l’origine réelle des connexions ; la renumérotation, plus propre, se paie en week-ends.

La fiche IPv6, autoconfiguration et coexistence montre comment un plan double pile reprend cette logique de zones : la pénurie disparaît, la discipline reste.

🐝 Ce qui arrive si on s’en passe

Sans plan d’adressage par zone, un objet connecté, un poste invité et un serveur d’administration peuvent partager la même plage, et aucune règle de filtrage fondée sur les adresses ne sait plus les distinguer : on autorise tout pour que ça marche, ou l’on bloque tout et plus rien ne marche. Les chevauchements découverts au moment de raccorder un tunnel ou un réseau dans le nuage imposent des traductions d’adresses en cascade, qui rendent les journaux ambigus sur l’identité réelle des machines. Et l’habitude de tout mettre dans des plages de même taille garantit au moins une chose : le premier agrandissement se fera dans l’urgence.

🦫 Explication de la marmotte 🍫

Une adresse IPv4, dans la quatrième version du protocole Internet, est un nombre de 32 bits, écrit sous forme de quatre nombres de 0 à 255 séparés par des points. Une partie de ces bits désigne le réseau, le reste désigne une machine dans ce réseau. Le masque, ou préfixe, indique où se trouve la frontière : un préfixe de 24 signifie que les 24 premiers bits désignent le réseau. Dans chaque réseau, la première adresse identifie le réseau lui-même et la dernière sert à s’adresser à toutes les machines à la fois.

La notation CIDR, pour routage sans classes, remplace les anciennes classes de taille fixe et autorise n’importe quelle longueur de préfixe : on peut découper un réseau en sous-réseaux de tailles différentes ou regrouper des réseaux voisins sous une seule route.

Certaines plages sont réservées : les adresses privées, utilisables en interne mais non acheminées sur Internet, l’adresse de bouclage, qui désigne la machine elle-même, et les adresses automatiques en 169.254 qu’un poste se donne quand il ne reçoit aucune configuration. La passerelle par défaut est le routeur vers lequel la machine envoie tout ce qui ne se trouve pas dans son propre réseau.

Un bon plan attribue une plage à chaque zone : utilisateurs, serveurs, administration, invités, objets connectés, sauvegarde, zone exposée, en laissant de la place pour grandir. Les règles de filtrage s’écrivent alors par zone. Si une plage chevauche celle d’un tunnel chiffré ou d’un réseau dans le nuage, les machines ne savent plus quel chemin prendre. Et une adresse privée n’est pas pour autant une adresse protégée : elle est seulement invisible depuis Internet, ce qui n’a jamais arrêté quelqu’un déjà entré.

À lire aussi

• L'adressage IP en une pagePréfixe, masque, sous-réseaux, plages réservées et différences IPv4/IPv6 : l'adressage IP résumé sur un seul schéma, idées reçues comprises.
• Décision de chemin, routes statiques et routage systèmeComprendre comment un système ou routeur choisit le prochain saut, comment écrire des routes statiques et comment éviter asymétries et contournements.
• Résolution locale, ICMP, MTU et multicastExpliquer les protocoles qui rendent IP utilisable localement et diagnostiquable : ARP, Neighbor Discovery, ICMP, ICMPv6, MTU, fragmentation, multicast et IGMP.
• Interfaces, pilotes et démarrage par le réseauRelier carte réseau, pilote, système d’exploitation et pile protocolaire pour comprendre comment une machine émet et reçoit du trafic.

Pages voisines

La citent

• WireGuard et VPN maillés, fonctionnement, AllowedIPs et limites
• L'adressage IP en une page

IPv4, CIDR et plans d’adressage

Elle cite

• ⇄Lien dans les deux sens :IPv6, autoconfiguration et coexistence
• ⇄Lien dans les deux sens :NAT, translations et publication de services
• ⇄Lien dans les deux sens :Filtrage, segmentation, NAC et Zero Trust
• ⇄Lien dans les deux sens :Routage interne, redistribution et stabilité
• ⇄Lien dans les deux sens :Cloud networking, VPC/VNet, CDN et équilibrage
• DNS, DHCP, NTP : services d'infrastructure réseau
• VLAN, trunks, boucles et liens agrégés
• VPN, tunnels, bastions et interconnexions protégées
• Comment bloquer les requêtes côté serveur et la désérialisation
• Laisser une équipe se tromper sans casser la production

⇄ : les deux pages se citent l’une l’autre.