Subred.

Una subred (subnetwork) agrupa direcciones IP que comparten los bits más significativos de su dirección en una sola red de capa 3. La creación de subredes se formalizó en el RFC 950 (1985), que dividió el rígido esquema de clases A/B/C en porciones de red y de host definidas por una máscara de subred; el RFC 4632 generalizó después esto en el CIDR sin clases, con longitudes de prefijo arbitrarias como /24 o /27, y el RFC 1918 reservó 10.0.0.0/8, 172.16.0.0/12 y 192.168.0.0/16 para uso privado. Los hosts de la misma subred se comunican directamente mediante ARP o Neighbor Discovery en IPv6; el tráfico hacia otras subredes se reenvía a través de un router. El enmascaramiento de subred de longitud variable (VLSM) permite dividir un prefijo en bloques del tamaño justo para conservar direcciones.

En la arquitectura de seguridad, la subred es el límite natural para VLAN, ACL, reglas de cortafuegos y microsegmentación, y acota el radio de impacto de ataques de capa 2 como el ARP spoofing, que no puede cruzar un límite enrutado. Las subredes planas y sobredimensionadas son una causa raíz recurrente en los informes de brechas: una vez que un atacante aterriza en un host, una /16 sin segmentar le permite barrer y pivotar con libertad. La brecha de Target de 2013 es un caso de manual: los atacantes alcanzaron los sistemas de pago porque la red carecía de segmentación entre las zonas orientadas a proveedores y las de procesamiento de tarjetas. Las subredes solapadas o mal enrutadas que tienden puentes entre zonas de confianza son un riesgo de movimiento lateral igual de común.

flowchart TB
  R[Router / Layer-3 firewall]
  R --> A[10.1.10.0/24<br/>Production servers]
  R --> B[10.1.20.0/24<br/>User workstations]
  R --> C[10.1.30.0/24<br/>Build agents]
  A -.ACL denies.- C
  B -.ACL denies.- A