给设备配静态 IP 时，子网掩码填错的表现很奇怪：本机网络图标显示已连接，但就是访问不了同网段的其他机器，网关也 ping 不通。原因通常不是 IP 写错了，而是掩码把这台设备划进了另一个网段。理解掩码到底在做什么，这类问题几分钟就能定位。
掩码回答的是"我们是不是一伙的"
IP 地址其实分成网络位和主机位两部分，掩码的作用就是划出这条分界线：掩码中为 1 的位对应网络位，为 0 的位对应主机位。设备通信前会用掩码对目标 IP 做一次与运算，如果算出来的网络号和自己的一样，就认为对方在"同一网段"，直接发过去；不一样则交给网关转发。掩码填宽了，本该走网关的流量被当成同网段直发，结果就是不通。
斜杠记法是什么
掩码写成 255.255.255.0 很长手，于是有了 CIDR 记法：斜杠后面的数字表示掩码中 1 的个数。/24 就是前 24 位是网络位，等价于 255.255.255.0；/16 等价于 255.255.0.0。记住几个常见对应关系能省不少事：/8、/16、/24 分别对应 A、B、C 类地址的默认掩码，家用路由器最常见的就是 /24。
可用主机数为什么要减 2
一个网段的主机位全为 0 的地址留作网络号，全为 1 的地址留作广播地址，这两个都不能分配给具体设备，所以可用主机数是 2 的主机位次方减去 2。比如 /24 有 8 位主机位，2 的 8 次方是 256，减 2 就是 254 个可用地址。/30 只有 2 个可用地址，专门用在两台设备点对点互联的场景，路由器之间的链路经常这么配。
划分子网的思路
把一个大网段切成若干小网段，本质是向主机位借位：每借 1 位，网段数量翻倍，每个网段的可用地址数减半。动手前先问两个问题——需要几个网段，每个网段最多容纳多少台设备，然后按需求更大的那个来确定借几位。借完之后把每个子网的网络号、广播地址、可用范围列成表，配置时照表填，比现场心算可靠得多。确定设备当前所在网段，可以直接用IP地址查询核对。
别忽略网关占用
算完可用地址还要再扣掉网关本身，路由器接口要占一个地址，通常取可用范围内的第一个或最后一个。规划时给每台设备预留一点余量，打印机、摄像头、手机都会加入网络，把地址用满会导致新设备连不进来。网段定下来后，如果需要在防火墙上按服务放通流量，端口号的对应关系可以查常用端口号大全确认。把这些列进文档，下次扩容时不用重新推演一遍。