Sous-reseau.

Un sous-reseau (subnetwork) regroupe au sein d'un meme reseau de couche 3 les adresses IP qui partagent les bits de poids fort de leur adresse. Le decoupage en sous-reseaux a ete formalise par le RFC 950 (1985), qui a divise le schema rigide des classes A/B/C en parties reseau et hote definies par un masque de sous-reseau ; le RFC 4632 a ensuite generalise ce principe en CIDR sans classes, avec des longueurs de prefixe arbitraires telles que /24 ou /27, et le RFC 1918 a reserve 10.0.0.0/8, 172.16.0.0/12 et 192.168.0.0/16 pour un usage prive. Les hotes d'un meme sous-reseau communiquent directement via ARP ou Neighbor Discovery en IPv6 ; le trafic vers d'autres sous-reseaux est achemine par un routeur. Le masquage de sous-reseau a longueur variable (VLSM) permet de decouper un prefixe en blocs a la taille juste afin d'economiser les adresses.

En architecture de securite, le sous-reseau est la frontiere naturelle des VLAN, ACL, regles de pare-feu et de la microsegmentation, et il limite le rayon d'impact des attaques de couche 2 comme l'ARP spoofing, qui ne peut franchir une frontiere routee. Les sous-reseaux plats et surdimensionnes sont une cause racine recurrente dans les rapports de compromission : une fois qu'un attaquant prend pied sur un hote, un /16 non segmente lui permet de balayer et de pivoter librement. La compromission de Target en 2013 est un cas d'ecole : les attaquants ont atteint les systemes de paiement parce que le reseau manquait de segmentation entre les zones tournees vers les fournisseurs et celles de traitement des cartes. Les sous-reseaux qui se chevauchent ou sont mal routes en reliant des zones de confiance constituent un risque de mouvement lateral tout aussi frequent.

flowchart TB
  R[Router / Layer-3 firewall]
  R --> A[10.1.10.0/24<br/>Production servers]
  R --> B[10.1.20.0/24<br/>User workstations]
  R --> C[10.1.30.0/24<br/>Build agents]
  A -.ACL denies.- C
  B -.ACL denies.- A