A máscara de rede: onde termina a rede local (Internet)

Antes de enviar qualquer pacote, o computador precisa responder a uma pergunta: o destino está na mesma rede, ou o pacote deve ser entregue ao roteador? A resposta depende da máscara de rede, e uma máscara errada produz falhas que parecem aleatórias.

Como a máscara é construída

A máscara também tem 32 bits, escritos como quatro números separados por pontos, mas segue uma regra rígida: primeiro vêm todos os bits em 1, depois todos os bits em 0, sem mistura. Os bits em 1 marcam a parte da rede, e os bits em 0 marcam a parte do equipamento.

A máscara mais comum em redes locais é 255.255.255.0. Em binário, essa máscara tem três octetos com todos os bits em 1 e um último octeto com todos os bits em 0. A máscara indica, portanto, que os 24 primeiros bits do endereço identificam a rede e que os 8 últimos identificam o equipamento.

Por que os bits em 1 ficam juntos

A máscara existe para dividir o endereço em duas partes: um início, que é a rede, e um fim, que é o equipamento. Com os bits em 1 agrupados no começo, o ponto de divisão é único e pode ser descrito por um só número, a quantidade de bits em 1. Máscaras com bits em 1 e em 0 misturados não são aceitas pelos sistemas operacionais e roteadores atuais.

Como os bits em 1 precisam ficar juntos no começo, cada octeto da máscara só pode assumir nove valores:

• 255, com os oito bits em 1;
• 254, com os sete primeiros bits em 1;
• 252, com os seis primeiros;
• 248, com os cinco primeiros;
• 240, com os quatro primeiros;
• 224, com os três primeiros;
• 192, com os dois primeiros;
• 128, apenas com o primeiro;
• 0, com nenhum bit em 1.

Por isso, a máscara 255.255.255.100 não existe. O número 100, em binário, é 01100100, com bits em 1 e em 0 misturados.

O que significa aplicar a máscara

Aplicar a máscara a um endereço significa manter os bits do endereço que coincidem com os bits em 1 da máscara e zerar os demais. O resultado é o endereço da rede a que o equipamento pertence. Com a máscara 255.255.255.0, os três primeiros números do endereço são mantidos e o último passa a ser 0. Assim, o caixa 01, com o endereço 192.168.1.20, pertence à rede 192.168.1.0.

A decisão tomada antes de cada envio

Antes de cada envio, o computador aplica a máscara ao próprio endereço e ao endereço de destino e compara as duas redes. Para o caixa 01, com o endereço 192.168.1.20 e a máscara 255.255.255.0, a decisão é a seguinte:

• para o destino 192.168.1.10, o servidor da loja, a rede é 192.168.1.0, a mesma do caixa, e o pacote é entregue diretamente;
• para o destino 192.168.0.50, o servidor geral da matriz, a rede é 192.168.0.0, diferente, e o pacote é entregue ao gateway;
• para o destino 8.8.8.8, um servidor na Internet, a rede também é diferente, e o pacote é entregue ao gateway.

A máscara não protege nem acelera a comunicação. A máscara apenas define se o destino é local ou remoto.

Quem aplica a máscara, e em que momento

Quem faz essa conta é o sistema operacional, na parte responsável pela comunicação em rede, chamada pilha TCP/IP. A placa de rede e o switch não participam da decisão. A cada envio, o processo é o seguinte:

1. O programa solicita o envio de dados a um endereço IP.
2. O sistema consulta a tabela de rotas. A rota da própria rede, como 192.168.1.0 com a máscara 255.255.255.0, é criada automaticamente a partir do endereço e da máscara da interface.
3. Se o destino pertence a essa rede, a entrega é direta: o sistema descobre o endereço MAC do destino e envia o quadro a ele.
4. Se o destino não pertence a essa rede, o pacote segue pela rota padrão: o sistema descobre o endereço MAC do gateway e envia o quadro ao gateway.

O switch e o roteador usam a máscara?

• Switch: não usa. O switch trabalha com endereços MAC, dentro da rede local, e não lê o endereço IP nem a máscara.
• Roteador: usa. Cada interface do roteador tem endereço e máscara, e a tabela de rotas do roteador é uma lista de redes, cada uma com a sua máscara. Com essas informações, o roteador decide para qual lado encaminhar cada pacote.

O erro clássico: máscara diferente entre equipamentos da mesma rede

Equipamentos de uma mesma rede precisam ter a mesma máscara. Quando um equipamento recebe a máscara errada, esse equipamento passa a tomar a decisão errada para parte dos destinos: considera local o que é remoto, ou remoto o que é local.

Um exemplo: a filial 01 está ligada à matriz por uma VPN configurada no roteador da loja, e os computadores da loja acessam o servidor geral, no endereço 192.168.0.50, por meio do roteador. O balcão 02 foi configurado por engano com a máscara 255.255.0.0, em vez de 255.255.255.0. Para esse computador, a rede local passa a ser toda a faixa que começa com 192.168, e o resultado é o seguinte:

• o servidor da loja continua acessível, porque está de fato na rede local;
• os sites da Internet continuam acessíveis, porque estão fora da faixa 192.168 e seguem para o gateway;
• o servidor geral, em 192.168.0.50, passa a ser considerado local, e o computador tenta entregar o pacote diretamente na rede da loja, sem obter resposta de nenhum equipamento.

A comunicação com a matriz falha, enquanto quase todo o resto funciona. Esse tipo de sintoma parcial é mais difícil de diagnosticar do que uma queda completa.

Como identificar uma máscara errada

• Comparar a máscara exibida pelo ipconfig no computador com problema com a de um computador que funciona na mesma rede.
• Observar o padrão da falha: alguns destinos funcionam e outros não, ou a comunicação funciona em um sentido e falha no outro.
• Conferir a rota da própria rede na tabela exibida pelo route print -4, que deve ter a mesma máscara em todos os computadores da rede.
• Testar a comunicação nos dois sentidos, de um computador para o outro e vice-versa.