子网掩码扩段：能救急，别当正式设计

导语：这篇把掩码扩段从二进制讲起：为什么改掩码就能跨网段直通、二百四十八这个数怎么算出来、它成立的前提和副作用，以及正式项目该用什么方案代替。

调试电脑在0段，录像机在1段，门禁偏偏在6段。

一个一个改电脑IP去试，不是办法。

现场常见这种局面：一台电脑要同时访问几个网段的设备，又没有三层设备帮忙转发。改子网掩码让它们落进同一个大网段，是一个能救急的办法，但用之前得先知道它怎么成立、代价在哪。改错一个掩码，原本能通的设备也可能一起断掉。

01 先看场景和前提

示例：电脑是192.168.0.x，要访问192.168.1.x的录像机、192.168.3.x的交换机、192.168.6.x的门禁。示例地址为教学值，以现场规划为准。

这个办法成立有三个前提：地址前缀整齐，前两段都是192.168；差异只在第三段；这几个网段能被同一个掩码窗口框进去。前两段不一致，就不适合这么做；差异跨得太大，框出来的窗口也会大到失控。

02 把第三段换成二进制

只看第三段：0是00000000，1是00000001，3是00000011，6是00000110。从左往右比，前五位全是0，完全相同，差别都落在后三位。

掩码的意思就是把相同的位固定住、不同的位放开。前五位置1、后三位置0，得到11111000，换成十进制就是248。前两段保持255不动，因为它们本来就要求完全一致；第四段保持0，因为它要全部放开给设备用。

掩码就是一把尺子，量出哪些位必须一样。

03 算出新掩码

于是新掩码是255.255.248.0，写成前缀是二十一位。它把第三段从0到7的八个网段框成一个大网段，范围是192.168.0.0到192.168.7.255，0、1、3、6都在里面。

推算方法通用：把要合并的几个数写成二进制，找出从左往右相同的位数，相同的置1，其余置0。以上为通用计算口径，实际以现场地址规划为准。还要留意边界地址：在这个大网段里，192.168.0.0和192.168.7.255分别是网络地址和广播地址，不能分给设备。

能算出来的掩码，不一定是该用的掩码。

计算过程见下图。

技术关系示意：0、1、3、6的二进制对齐与掩码二百四十八的推导（非真实项目数据）。

04 回包这一步最容易漏

只改电脑的掩码，电脑认为对方是邻居，会直接发过去；但对方设备还用原来的掩码，它判断电脑不在自己网段，回包会交给自己的网关。如果那个网关没有回到电脑的路，就是发得出、收不回。

所以通常要么相关设备的掩码一起放宽，要么对方网关上有回来的路由，具体以设备能否修改、现场拓扑为准。改之前把每台设备原来的掩码记下来，改完先用ping测通，再用设备客户端各登录一遍，确认业务也通。

还有三个副作用：广播域变大，原来分开的几个网段，广播会互相波及；所有相关设备的掩码要保持一致，混着用会出现时通时不通；它绕过了网关和访问控制，原本靠分网段做的隔离等于失效。

扩段等于拆墙，墙拆了，隔离也没了。

05 正式方案和应急边界

正式设计应该用虚拟局域网划分加三层网关，或者在路由设备上配静态路由，让跨网段访问走有记录、可控制的路径。临时只是调试电脑要访问几个网段，也可以给电脑网卡多配几个对应网段的地址，比全网改掩码影响小，调试完删掉这几个地址就恢复原样。

掩码扩段适合小现场、临时调试、老设备加不了路由这几种情况。用的时候在台账里记清楚改了哪些设备、原值是多少，调试结束按记录改回去。

决策示意：按现场条件选择掩码扩段、电脑多地址或三层方案（非真实项目）。

你在现场遇到跨网段，是改掩码、加地址，还是直接上三层？下次动掩码前，先把每台设备的原值抄进台账。

— 鑫禾智城

关注鑫禾智城，弱电现场的坑，提前帮你想明白。