Subnetting ו-VLSM

בשיעור הקודם למדנו לקרוא מסכה ולחשב את גבולות הרשת. עכשיו נהפוך יוצרים: ניקח בלוק כתובות אחד ונחלק אותו בעצמנו למספר תת-רשתות. זהו Subnetting — אחד הכישורים המעשיים החשובים ביותר של איש רשת, והבסיס לכל תכנון מרחב כתובות בארגון.

למה בכלל לחלק לתת-רשתות?

לקחת /24 שלם ולשים בו את כל המכשירים בארגון זה אפשרי — אבל גרוע. מחלקים לתת-רשתות משלוש סיבות עיקריות:

בקרת תחום Broadcast (Broadcast Domain). כל חבילת Broadcast מגיעה לכל מארח בתת-הרשת. ככל שהתת-רשת גדולה יותר, כך יותר “רעש” Broadcast מציף את כולם. חלוקה לתת-רשתות מקטינה כל תחום Broadcast.
ארגון וניהול. הקצאת תת-רשת לכל מחלקה/אתר/תפקיד הופכת את הרשת לקריאה: רואים כתובת ומיד יודעים לאן היא שייכת. זה גם מפשט ניתוב וניהול.
סגמנטציה אבטחתית. זו הסיבה הקריטית. הפרדת המחלקות לתת-רשתות נפרדות מאפשרת להציב בקרה (ACLs/Firewall) על המעבר ביניהן, להגביל תנועה רוחבית (Lateral Movement) ולצמצם את ה-blast radius: פריצה לתת-רשת אחת אינה מובילה אוטומטית לכל השאר.

Subnetting באורך קבוע (Fixed-Length)

הרעיון: “שואלים” ביטים מחלק המארח והופכים אותם לביטי רשת. כל ביט שמושאל מכפיל את מספר התת-רשתות ומחצה את מספר המארחים בכל אחת.

דוגמה: חלוקת ‎192.168.1.0/24 לארבע תת-רשתות

כדי לקבל 4 תת-רשתות צריך לשאול 2 ביטים (2² = 4). המסכה גדלה מ-/24 ל-/26:

מסכה: 255.255.255.192 (/26)
גודל בלוק: 256 − 192 = 64 כתובות לכל תת-רשת
מארחים בכל תת-רשת: 2⁶ − 2 = 62

נחלק את הבלוק לפי קפיצות של 64:

תת-רשת	כתובת רשת	טווח שמיש	Broadcast	מארחים
1	`192.168.1.0/26`	`.1` – `.62`	`192.168.1.63`	62
2	`192.168.1.64/26`	`.65` – `.126`	`192.168.1.127`	62
3	`192.168.1.128/26`	`.129` – `.190`	`192.168.1.191`	62
4	`192.168.1.192/26`	`.193` – `.254`	`192.168.1.255`	62

הקשר ההפוך (Trade-off). ככל שמשאילים יותר ביטים לרשת — מקבלים יותר תת-רשתות, אבל פחות מארחים בכל אחת. אם נשאיל 3 ביטים (/27) נקבל 8 תת-רשתות של 30 מארחים; אם נשאיל 4 (/28) — 16 תת-רשתות של 14 מארחים בלבד. תמיד יש לאזן בין מספר התת-רשתות הדרוש לגודל הדרוש של כל אחת.

החיסרון של Subnetting קבוע: בזבוז. אם מחלקה אחת צריכה 50 מארחים והשנייה רק 2 — תת-רשת /26 אחידה לשתיהן מבזבזת 60 כתובות על קישור של שני מכשירים. כאן נכנס VLSM.

VLSM — Variable Length Subnet Mask

VLSM מאפשר להשתמש במסכות שונות לתת-רשתות שונות מתוך אותו בלוק — כלומר לחלק תת-רשת לתת-רשת — כך שכל תת-רשת מקבלת בדיוק את הגודל שהיא צריכה. זה מצמצם בזבוז למינימום.

הכלל הזהב: מקצים מהדרישה הגדולה ביותר לקטנה ביותר, וכל בלוק חדש מתחיל היכן שהקודם הסתיים.

דוגמה מלאה: VLSM על ‎192.168.10.0/24

נניח שצריך להקצות תת-רשתות לדרישות הבאות: 50 מארחים, 25 מארחים, 10 מארחים, וקישור נקודה-לנקודה (Point-to-Point) של 2 מארחים. נטפל בהן מהגדולה לקטנה:

שלב 1 — 50 מארחים. צריך 2^n − 2 ≥ 50 → n = 6 (62 ≥ 50) → /26, גודל בלוק 64. מתחילים בתחילת הבלוק:

רשת 192.168.10.0/26, שמיש .1–.62, Broadcast 192.168.10.63. (הבא הפנוי: .64)

שלב 2 — 25 מארחים. צריך 2^n − 2 ≥ 25 → n = 5 (30 ≥ 25) → /27, גודל בלוק 32. מתחילים מ-.64:

רשת 192.168.10.64/27, שמיש .65–.94, Broadcast 192.168.10.95. (הבא הפנוי: .96)

שלב 3 — 10 מארחים. צריך 2^n − 2 ≥ 10 → n = 4 (14 ≥ 10) → /28, גודל בלוק 16. מתחילים מ-.96:

רשת 192.168.10.96/28, שמיש .97–.110, Broadcast 192.168.10.111. (הבא הפנוי: .112)

שלב 4 — קישור 2 מארחים. צריך 2^n − 2 ≥ 2 → n = 2 (2 = 2) → /30, גודל בלוק 4. מתחילים מ-.112:

רשת 192.168.10.112/30, שמיש .113–.114, Broadcast 192.168.10.115.

טבלת הסיכום של ההקצאה:

דרישה	קידומת	מסכה	כתובת רשת	טווח שמיש	Broadcast
50 מארחים	`/26`	`255.255.255.192`	`192.168.10.0`	`.1` – `.62`	`192.168.10.63`
25 מארחים	`/27`	`255.255.255.224`	`192.168.10.64`	`.65` – `.94`	`192.168.10.95`
10 מארחים	`/28`	`255.255.255.240`	`192.168.10.96`	`.97` – `.110`	`192.168.10.111`
2 מארחים (P2P)	`/30`	`255.255.255.252`	`192.168.10.112`	`.113` – `.114`	`192.168.10.115`

אימות אי-חפיפה: הבלוק הראשון מסתיים ב-.63, השני מתחיל ב-.64 ומסתיים ב-.95, השלישי מתחיל ב-.96 ומסתיים ב-.111, והרביעי מתחיל ב-.112 ומסתיים ב-.115. כל בלוק מתחיל בדיוק אחרי שקודמו הסתיים — אין חפיפות, וכל בלוק גדול דיו לדרישתו. נותר אפילו מרחב פנוי החל מ-.116 להרחבה עתידית.

תרגול אינטראקטיבי: אימות תת-רשתות

לפני שסומכים על חישוב ידני — מאמתים. המחשבון הבא טעון לבלוק הראשון של הדוגמה, 192.168.10.0/26. ודאו שהוא מציג כתובת רשת .0, טווח שמיש .1–.62 ו-Broadcast 192.168.10.63. לאחר מכן הקלידו את כתובת הרשת של כל בלוק נוסף (192.168.10.64 עם /27, 192.168.10.96 עם /28, 192.168.10.112 עם /30) והשוו כל טווח לחישוב היד שלכם בטבלה למעלה.

טבלת השוואה: חלוקת ‎/24

הטבלה הבאה מסכמת כיצד נראית חלוקה של בלוק /24 בקידומות שונות:

קידומת	מסכה	מספר תת-רשתות (מ-/24)	מארחים שמישים בכל אחת
`/25`	`255.255.255.128`	2	126
`/26`	`255.255.255.192`	4	62
`/27`	`255.255.255.224`	8	30
`/28`	`255.255.255.240`	16	14
`/29`	`255.255.255.248`	32	6
`/30`	`255.255.255.252`	64	2

התאמת גודל (Right-Sizing) היא אבטחה. תת-רשת גדולה מהדרוש משאירה כתובות פנויות רבות — שטח שבו תוקף יכול “לחיות” בלי להתבלט, ותחום Broadcast רחב יותר לניצול. התאמת כל תת-רשת לגודל האמיתי שלה מצמצמת את משטח התקיפה ואת מרחב התמרון של תוקף. VLSM אינו רק יעילות כתובות — הוא היגיינה אבטחתית.

תרגול מעשי (Packet Tracer)

ניישם את שני הבלוקים הראשונים של ה-VLSM שחישבנו ונראה שניתוב ביניהם עובד. הנתב R1 ישמש Gateway לשתי תת-הרשתות — הכתובת השמישה הראשונה בכל אחת.

תזכורת CLI: הגדרת הממשקים נעשית בלשונית CLI של R1, באותה שיטה משיעור מבוא ל-CLI של Cisco IOS — ‏enable → configure terminal → interface → ip address → no shutdown.

בנו טופולוגיה: נתב R1 עם שני ממשקי GigabitEthernet, כל אחד מחובר ל-Switch נפרד ועליו מחשב אחד (‏PC-Sales, PC-IT). הגדירו ב-R1: Gig0/0/0 → 192.168.10.1 255.255.255.192 (‏/26, Gateway של Sales), ‏Gig0/0/1 → 192.168.10.65 255.255.255.224 (‏/27, Gateway של IT), ובכל אחד no shutdown.
הגדירו את המחשבים, כל אחד בתת-הרשת שלו (Desktop → IP Configuration → Static):
- PC-Sales: ‏IP 192.168.10.10, ‏Mask 255.255.255.192, Default Gateway 192.168.10.1.
- PC-IT: ‏IP 192.168.10.70, ‏Mask 255.255.255.224, Default Gateway 192.168.10.65.
מ-PC-Sales שלחו ping 192.168.10.70 אל PC-IT — תקשורת בין תת-רשת /26 לתת-רשת /27, שחייבת לעבור דרך הנתב.

הפלט הצפוי:

Pinging 192.168.10.70 with 32 bytes of data:

Reply from 192.168.10.70: bytes=32 time=1ms TTL=127
Reply from 192.168.10.70: bytes=32 time<1ms TTL=127
Reply from 192.168.10.70: bytes=32 time<1ms TTL=127
Reply from 192.168.10.70: bytes=32 time<1ms TTL=127

Ping statistics for 192.168.10.70:
    Packets: Sent = 4, Received = 4, Lost = 0 (0% loss),
Approximate round trip times in milli-seconds:
    Minimum = 0ms, Maximum = 1ms, Average = 0ms

TTL=127 מעיד שהחבילה חצתה נתב אחד — אימות שהתקשורת אכן חוצה את שתי תת-הרשתות. אם המסכה במחשב שגויה (למשל /24 במקום /26), המארח יחשב כתובת רשת שגויה וה-ping ייכשל.

מה הלאה

עכשיו יש בידינו את כל הכלים: לקרוא מסכה, לחשב גבולות, ולתכנן הקצאת VLSM שלמה. בשיעור הבא — המעבדה — ניישם בדיוק את התכנון הזה ב-Packet Tracer: נבנה משרד עם שלוש מחלקות בגדלים שונים, נחלק להן בלוק יחיד עם VLSM, ונוודא תקשורת חוצת-רשתות. לאחר מכן נעבור למודול 4: Switching ו-Ethernet.