Sub-rede.

Uma sub-rede (subnetwork) agrupa em uma unica rede de camada 3 os enderecos IP que compartilham os bits mais significativos de seu endereco. A criacao de sub-redes foi formalizada na RFC 950 (1985), que dividiu o rigido esquema de classes A/B/C em porcoes de rede e de host definidas por uma mascara de sub-rede; a RFC 4632 depois generalizou isso no CIDR sem classes, com comprimentos de prefixo arbitrarios como /24 ou /27, e a RFC 1918 reservou 10.0.0.0/8, 172.16.0.0/12 e 192.168.0.0/16 para uso privado. Hosts na mesma sub-rede se comunicam diretamente via ARP ou Neighbor Discovery do IPv6; o trafego para outras sub-redes e encaminhado por um roteador. O mascaramento de sub-rede de comprimento variavel (VLSM) permite dividir um prefixo em blocos do tamanho certo para economizar enderecos.

Na arquitetura de seguranca, a sub-rede e a fronteira natural para VLANs, ACLs, regras de firewall e microsegmentacao, e limita o raio de impacto de ataques de camada 2 como o ARP spoofing, que nao consegue atravessar uma fronteira roteada. Sub-redes planas e superdimensionadas sao uma causa raiz recorrente em relatorios de violacao: assim que um atacante se estabelece em um host, uma /16 nao segmentada permite que ele varra e pivote livremente. A violacao da Target em 2013 e um caso classico - os atacantes alcancaram os sistemas de pagamento porque a rede carecia de segmentacao entre as zonas voltadas a fornecedores e as de processamento de cartoes. Sub-redes sobrepostas ou mal roteadas que ligam zonas de confianca sao um risco de movimentacao lateral igualmente comum.

flowchart TB
  R[Router / Layer-3 firewall]
  R --> A[10.1.10.0/24<br/>Production servers]
  R --> B[10.1.20.0/24<br/>User workstations]
  R --> C[10.1.30.0/24<br/>Build agents]
  A -.ACL denies.- C
  B -.ACL denies.- A