简介：一份面向网络初学者和计算机相关专业学生的PPT学习教案，系统讲解子网与子网掩码的核心概念，并延伸默认网关、DNS、Ping命令等网络管理基础知识。内容从IP地址紧缺与子网划分的必要性切入，逐步说明子网掩码如何区分网络标识与主机标识，再介绍网关转发机制、DNS正向与反向解析原理，并补充Windows与Unix系统中的DNS设置方法，以及常用连通性测试工具，帮助读者建立完整的网络地址管理认知框架。资源为单个PPTX文件，大小约70KB，仅1个文件，排版精简，适合课堂教学或自主复习。已有80人学习下载，适合希望在短时间内掌握网络基础概念的入门人群。通过该PPT可直观理解子网掩码作用、DNS设置要点及Ping工具的实际应用，是一份便于演示与自学的简明教学材料。
1. 子网与子网掩码：网络排查的第一道分水岭
拿到一台连不上网的机器，绝大多数人第一反应是「网线松了」或者「路由器坏了」，但真正干过几年运维的人都明白，十次里有六七次问题出在 IP 地址、子网掩码、网关这三件套的搭配上。这套关于子网与子网掩码概念和作用的 PPT 教案，总共六页，把最关键的几个基础点——子网划分、子网掩码区分网络位与主机位、默认网关、DNS 以及 Ping 命令的判读——串成了一条完整的排错链路。适合刚接触 TCP/IP 的初学者，也适合带新人时直接拿来当培训底稿。我拆完这份资料，最大的感受是：它没有堆砌协议理论，而是把「你在配置网络时到底在配置什么」这件事讲清楚了。看完之后，至少能理解一个最简单的配置界面背后，那些数字到底在干什么。
2. 子网划分的原理：从「借位」到「掩码」，一次说透
2.1 为什么非划分不可：IP 地址不够用是根因
互联网发展初期，IP 地址采用的是分类编址，A 类、B 类、C 类地址按固定位数划分网络部分和主机部分。问题在于，分类编址太死板了：申请一个 B 类地址，理论上有 65534 个主机位可用，但实际网络中可能只有几十台设备；申请一个 C 类地址，最多 254 台，稍微大点的部门就不够用。这种「要么撑死、要么饿死」的分配方式，直接导致 IP 地址被大量浪费。子网划分的思路就是在这种情况下提出的：把一个大的网络划分成若干个小的子网，每个子网独立管理、独立分配，需要多大规模的局域网就分给它多大规模的地址段。
PPT 里提到「把主机地址中的一部分主机位借给网络位」，这句话是整份教案的核心。所谓「借位」，就是人为地改变分类地址的默认边界，把原本属于主机号的高位部分拿来当作网络号使用。比如一个 C 类地址 192.168.1.0/24，默认情况下前 24 位是网络位，后 8 位是主机位。如果你只需要 30 台设备，完全可以把后 8 位再拆出一部分来，变成 192.168.1.0/26 或 /27，这样原本一个子网就变成了多个子网，每个子网容纳的设备数量刚好匹配实际需求。借位的结果必然是子网数量增多、单个子网容量减少，这就是 PPT 中「减少有效 IP 地址」的真正含义——不是把地址弄丢了，而是把地址更精确地分配给更需要的地方。
2.2 子网掩码的二进制本质：一串 1 和一串 0 的分界线
子网掩码不是「一个数字」，而是一个 32 位的二进制掩码，它的作用就是标记 IP 地址的哪一部分是网络位、哪一部分是主机位。掩码里连续的 1 对应的位是网络位，连续的 0 对应的位是主机位。最常用的 255.255.255.0 写成二进制是 11111111.11111111.11111111.00000000，前 24 位是网络位，后 8 位是主机位。这个形式很好记，但真正理解了它，才能看懂为什么 255.255.255.128、255.255.255.192 这些不规整的掩码会出现在实际配置里。
计算某个 IP 的网络地址，方法很简单：把 IP 地址和子网掩码都换算成二进制，逐位做「与」运算（AND）。1 AND 1 得 1，其他组合都得 0。比如 IP 地址 192.168.1.130，配合掩码 255.255.255.128，做与运算后得到网络地址 192.168.1.128。也就是说，192.168.1.129 到 192.168.1.254 这些地址在这个子网里都属于同一个广播域，可以直接二层通信；而 192.168.1.1 就属于另一个子网了，跨网段就必须走三层路由。理解了这个运算过程，就不会再疑惑「为什么我的机器和服务器 IP 一样，掩码不一样就 ping 不通」。
下面用一段简单的 Python 代码模拟这个过程，方便直观感受掩码的运算：
# 将 IP 和掩码拆成二进制列表，做与运算 def ip_to_binary(ip_str): return [int(x) for octet in ip_str.split('.') for x in f'{int(octet):08b}'] ip_bin = ip_to_binary('192.168.1.130') mask_bin = ip_to_binary('255.255.255.128') # 逐位与运算，得到网络地址的二进制 network_bin = [a & b for a, b in zip(ip_bin, mask_bin)] # 每 8 位转换回十进制 network_ip = '.'.join( str(int(''.join(map(str, network_bin[i:i+8])), 2)) for i in range(0, 32, 8) ) print(network_ip) # 输出 192.168.1.128这段代码的逻辑很直白：先把点分十进制的 IP 转成 32 位二进制序列，再逐位和掩码做与运算。运算结果转回十进制，就是该 IP 所在子网的网络地址。实际排查时不需要真去跑代码，但理解这个机制对后面配置和排错非常有帮助。掩码一旦配错，网络地址就算偏了，跨网段的通信立刻就会出问题。
2.3 从「网络地址」到「主机地址」：划分子网的收益边界
划分子网除了节省 IP 地址，还有一层重要的价值：网络隔离。同样是 192.168.1.0/24 这个网段，划分成 /26 之后变成了四个子网：192.168.1.0/26、192.168.1.64/26、192.168.1.128/26、192.168.1.192/26。不同子网之间的广播报文不会相互穿透，这就在二层做了隔离，一个子网内的 ARP 风暴不会拖垮另一个子网。项目正文里写的「使用子网可以提高网络应用的效率」，本质就是这个隔离效果。
但要提醒一句：划分子网不是越细越好。每个子网有网络地址和广播地址不可用，当一个子网足够大时，这两个地址的浪费可以忽略不计；但如果划分得过细，比如一个 /30 子网只有两个可用地址（路由器各占一个），对普通业务场景来说就有些捉襟见肘了。常见的做法是：终端设备所在的子网至少给 /25 或 /26，点对点链路用 /30，服务器集群单独划一个 /24 或 /25。PPT 的深度停留在概念层面，实际规划时要结合设备数量、增长预期和广播域规模综合判断。
3. 网关与 DNS：内网通了，外网不通，先查这两个配置
3.1 默认网关：数据包出不去时的那扇门
同一子网内的两台主机通信，直接通过交换机二层转发就能到达，不需要任何中间设备。但一旦目标 IP 不在当前子网内，源主机根本没有办法直接把数据帧送到对方那里，必须把数据包交给一个「中间人」代为转发。这个中间人就是网关，通常是一台路由器或者三层交换机的接口地址。PPT 里把默认网关描述为「信息先经过中继站，然后由中继站转发到外网」，这个比喻是准确的，但多数人理解到这里就停了，导致配置时抓不住重点。
实际上，默认网关的生效逻辑是：主机把目标 IP 和自己的子网掩码做与运算，得到目标网络地址，再和自己所在网络地址比较。一致就直连，不一致就把数据包交给网关。这里有个值得注意的细节：主机的网关地址必须和主机 IP 处于同一个子网，否则主机在二层根本无法到达网关。最常见的问题是网关填了路由器的 WAN 口地址（外网地址），而不是 LAN 口地址（内网地址），结果就是数据包怎么都出不去。正确做法是：在电脑上配置默认网关时，填的是路由器内网接口的 IP，不是你向运营商申请的公网地址。
3.2 DNS 正反向解析：域名能通不代表 IP 能通
DNS 在 PPT 里占了整整两页，说明这是另一个高频配置点。DNS 服务器保存了域名和 IP 地址的映射关系，用户在浏览器里输入www.example.com时，系统会先向配置的 DNS 服务器发起查询，拿到对应的 IP 之后才发起真正的网络连接。这个过程叫正向解析。反向解析则是把 IP 转成域名，Unix 工作站收到登录请求时常常用这种方式反查来源，以确认连接来自哪个域。
配置 DNS 的位置和操作系统密切相关。Windows 9x 时代是在「控制面板 → 网络 → TCP/IP → 属性」里设置，现在的 Windows 10/11 则是在「设置 → 网络和 Internet → 更改适配器选项 → 属性 → 双击 IPv4」里填。Unix 类系统在/etc/resolv.conf里写nameserver 8.8.8.8这样的行。操作系统的差异只是入口不同，底层逻辑一致：DNS 配置只影响域名解析，不影响 IP 直连。也就是说，如果 DNS 配错了，表现是「能 ping 通 IP、但浏览器打不开网页」，这条规律在实际排错时非常管用。
| 故障现象 | 优先排查对象 | 验证命令 |
|---|---|---|
| IP 能 ping 通，域名解析不了 | DNS 服务器地址 | nslookup example.com |
| 能 ping 通网关，外网 IP 不通 | 路由器 NAT 或运营商链路 | tracert 223.5.5.5 |
| 网关 ping 不通 | 网线/交换机/驱动 | ipconfig /all |
| 子网掩码错误导致的跨网段不通 | 子网掩码与网络规划 | route print |
这张表是实际排错时最常用的判断路径。第四行是很容易忽略的场景：掩码配错了，导致本机把自己的网络边界划错，结果和网关不在同一个二层域里，表现就是网关都 ping 不通。这时候去折腾网线和端口都没用，回头看一眼掩码往往一分钟就定位了。
3.3 DNS 设置的两点实操建议
第一，不要只填一个 DNS 服务器地址，至少填两个，主备各一。单点故障一旦发生，整个办公室的域名解析都会瘫痪，但 IP 直连业务不受影响，排查起来很容易走弯路。第二，内网环境尽可能使用内网 DNS 做解析上游，公共 DNS 如 223.5.5.5、119.29.29.29 适合家用和无法确认上游的场景，但在企业内网里，内网域名（比如内部的 GitLab、Wiki）只能靠内网 DNS 解析，公共 DNS 根本不知道这些名字。混用时要确认内网 DNS 是否开启了递归查询和转发，否则可能出现「外网域名能解析，内网域名全部失败」的诡异现象。
4. 子网掩码取反与 Ping 判读：手算通配符与排错命令的边界
4.1 子网掩码取反到底怎么取：从二进制反码到 ACL 通配符
搜索热词里频繁出现「子网掩码取反怎么取」，这个问题在配置访问控制列表（ACL）、OSPF 的 network 命令以及部分路由协议时都会遇到。子网掩码取反，二进制上就是把 0 变 1、1 变 0，得到的这个反掩码也叫通配符掩码。255.255.255.0 取反得到 0.0.0.255，255.255.255.248 取反得到 0.0.0.7。取反的意义在于：路由和 ACL 场景里需要表达「匹配某网段内所有主机」这个概念，通配符掩码的 0 位表示必须精确匹配，1 位表示可以任意变化。
以 255.255.255.248 为例，它的二进制是 11111111.11111111.11111111.11111000，取反后是 00000000.00000000.00000000.00000111，即 0.0.0.7。这条反掩码和 IP 192.168.1.8 一起用，匹配的是 192.168.1.8 到 192.168.1.15 这个范围。注意这里有一个常见的思维坑：反掩码不是「把十进制数用 255 去减」。255.255.255.248 按位取反的正确结果是 0.0.0.7，而用 255 减去 248 也得 7，看起来结果一致，那是因为这个例子里恰好巧合，换个值就错了。比如掩码 255.255.255.192，二进制取反结果是 0.0.0.63，但 255 减 192 得 63，依旧一致。这两个式子确实在数学上等价，因为每个八位组的取值都是 255 减去原值，但理解成「按位取反」才能处理非连续掩码的边界情况，避免遇到 IP 反掩码时手忙脚乱。
4.2 Ping 命令的返回信息：透过现象看链路状态
Ping 是日常使用频率最高的网络诊断工具，它的核心原理是发送 ICMP Echo Request 报文，目标主机收到后回复 Echo Reply 报文。PPT 里把 Ping 描述为「声纳脉冲」，这个类比很形象：发出一个信号，等待回应，根据回应判断状态。但真正动手时，很多人只看「通」或「不通」，忽略了中间几行返回信息的价值。
一次完整的 Ping 输出包含三个关键信息：目标 IP、ICMP 序号与 TTL、往返时间。TTL 值可以用来间接判断目标设备的操作系统类型和经过的路由跳数——Windows 默认 TTL 是 128，Linux 默认是 64，设备之间每经过一跳 TTL 减 1。如果 ping 一个 Windows 主机返回的 TTL 是 125，说明中间经过了 3 跳。往返时间则反映链路的当前负载，正常情况下内网 ping 延迟应该在 1ms 以内，如果反复出现 100ms 以上，可能链路质量已经出问题了。还有一种典型现象：前几次请求超时，后面全部正常，这通常不是网络故障，而是目标设备开启了对 ICMP 的限速或者 ARP 缓存尚未建立，不必过度紧张。
4.3 Ping 不通不等于网络不通：三条边界判断
Ping 命令的边界在于它只验证网络层连通性，并不覆盖所有故障面。第一个边界：目标设备的防火墙策略可能直接丢弃 ICMP 报文，但允许 TCP 业务流量通过，此时网页能打开，Ping 却不通，这不是故障。第二个边界：Ping 通只能说明网络层可达，不能说明应用层服务正常，HTTP 服务挂了、数据库连接池满了，这些都无法通过 Ping 发现。第三个边界：Ping 诊断依赖 ICMP 协议，某些跨运营商链路或云平台对 ICMP 做限速和优先级压制，可能会导致真实时延被放大或丢包，这时需要改用tcping或curl来测试 TCP 端口连通性。日常排查时我的习惯是：先 Ping 网关，再 Ping 外网 IP，最后 Ping 域名，三步下来基本能把故障区域从「链路→路由→DNS」里定位出来。
5. 避坑指南：子网配置最容易翻车的五个场景
5.1 掩码写错导致「网段不是我以为的那个网段」
现象：一台服务器配置的 IP 是 192.168.1.130，掩码是 255.255.255.0，旁边一台电脑 IP 是 192.168.1.1，掩码写成 255.255.255.128，两台机器互相 Ping 不通。
原因：后者把子网边界划在了 192.168.1.128，它认为 192.168.1.130 不在自己的子网内，所以把数据包发给了网关而不是直接二层转发。网关如果没配置对应的回程路由，通信就断了。
解决：把两端的子网掩码统一成 255.255.255.0，或者按照实际网络规划把掩码改成一致的值。修改后用ipconfig /all确认，再 Ping 一次验证。
5.2 借位时把可用主机数少算了一个「2」
现象：规划一个子网时需要容纳 30 台设备，有人直接把 32 减去 2 得到 30 就用了 /27，但实际可用主机数只有 30，再算上网关占用的一个地址就只剩 29 个，装不下所有设备。
原因：每个子网都有网络地址和广播地址不可用，可用的主机地址总数是 2 的 n 次方减 2，其中 n 是主机位数。 /27 的主机位是 5 位，32 减 2 正好 30，但网关是这个子网里的一台设备，它占掉一个地址，剩下的当然不够。
解决：规划时把网关也计入主机数，预留 10%~20% 的余量。30 台设备的场景直接用 /26，主机位 6 位，可用地址 62 个，网关占一个还剩 61 个，完全够用。
5.3 默认网关填了 WAN 口地址
现象：办公室电脑能 Ping 通路由器 LAN 口，也上不了网，tracert显示第一跳就出去了但没有后续。
原因：默认网关必须与电脑 IP 处于同一网段。如果路由器的 WAN 口是 192.168.0.1、LAN 口是 192.168.1.1，电脑 IP 是 192.168.1.100，网关填了 192.168.0.1，电脑和网关不在同一个二层域里，数据包根本到不了网关。
解决：ipconfig /all查看当前所有网卡的 IP 与网关分配，把默认网关改成路由器 LAN 口的地址。配置前先 Ping 一下这个网关地址，确认二层连通没问题。
5.4 DNS 只配了一个，域名解析出现单点故障
现象：办公室所有电脑突然打不开外网网页，但 QQ、企业微信一切正常，Ping 内网服务器也通。
原因：这些即时通讯软件使用了 IP 直连或内置的 HTTPDNS，不依赖系统 DNS；浏览器必须做域名解析。唯一的 DNS 服务器一旦宕机或者响应超时，所有浏览器的请求全部失败。
解决：至少配置两个 DNS 地址，首选和备用不要指向同一台物理设备。内网场景建议主 DNS 用内网服务器，备 DNS 用公共地址，不然内网服务和外网访问同时受牵连。
5.5 Ping 通网关但 Ping 不通外网 IP，走了 NAT 的坑
现象：内网电脑能 Ping 通路由器，能 Ping 通外网 DNS 服务器的 IP（比如 223.5.5.5），但就是无法解析域名。
原因：数据包能出去、能回来，说明 NAT 和路由没问题，问题出在 DNS 被劫持、DNS 地址配置错误，或者运营商把 53 端口 UDP 流量做了策略限制。
解决：先用nslookup www.baidu.com 223.5.5.5指定公共 DNS 做一次查询，能返回 IP 就说明链路正常，问题在本地 DNS 配置；返回超时则可能是 UDP 53 被限制，尝试把 DNS 换成 TCP 或者改用 HTTPS DNS（DoH）方案。
6. 把这套资源变成你的排错手册：一份可存档的配置速查表
前面几章把概念和坑讲透了，最后落地到一张能直接贴在工位上的速查表，这是我从这份教案里提炼出来的核心价值。每次配置新设备、排查网络故障时，按这个顺序过一遍，大多数基础问题十分钟内能定位。
| 场景 | 掩码参考 | 可用地址数 | 网关位置 |
|---|---|---|---|
| 家庭/小型办公（<50 设备） | 255.255.255.0 (/24) | 254 | 路由器 LAN 口 |
| 中型办公室（<200 设备） | 255.255.255.128 (/25) 或 /24 | 126 或 254 | 三层交换机 VLAN 接口 |
| 服务器集群（单独隔离） | 255.255.255.192 (/26) | 62 | 防火墙内网口 |
| 点对点互联链路 | 255.255.255.252 (/30) | 2 | 对端接口地址 |
配合这张表，再记住四句口诀：先定掩码再配地址，网关必须同网段，DNS 至少配两个，Ping 通不代表业务通。把 PPT 里的六页内容用自己的话复述一遍，能讲清楚为什么网关要填路由器 LAN 口地址，基本就算掌握这套教案了。我自己带新人时，一般让他们拿这台电脑的ipconfig /all输出，对着速查表逐项核对一遍，再把掩码故意改错一次，观察故障现象后再改回来，整个过程二十分钟，印象远比背概念深刻。从那以后，我每次配置完网络设备，都强制自己走一遍「Ping 网关 → Ping 外网 IP → nslookup 域名」的验证流程，这套习惯就是从这类基础教案里沉淀出来的。希望这份拆解对你也有同样的帮助。
本文还有配套的精品资源，点击获取
