ทฤษฎีของซับเน็ตมาสก์คือการกำหนดว่าส่วนใดของที่อยู่ IP คือที่อยู่เครือข่ายและส่วนใดของที่อยู่ IP คือที่อยู่โฮสต์:
10.100.0.1 - ที่อยู่ IP;
255.0.0.0 - หน้ากากซับเน็ต
10- ที่อยู่เครือข่าย - ที่อยู่100.0.1โฮสต์
โฮสต์ภายในซับเน็ตเดียวกันสามารถพูดคุยกันได้โดยตรง นั่นหมายความว่าถ้าโฮสต์ A และ B อยู่ในซับเน็ตเดียวกันและ A ต้องการพูดคุยกับ B ดังนั้น A จะส่งทราฟฟิกไปยัง B โดยตรงหากโฮสต์ A ต้องการพูดคุยกับโฮสต์ C ซึ่งอยู่ในเครือข่ายย่อยอื่น A จะมี เพื่อกำหนดเส้นทางทราฟฟิกนี้ไปยังเกตเวย์ที่รู้ (หวังว่า) จะเข้าถึงเครือข่ายต่างๆได้อย่างไร ดังนั้นขึ้นอยู่กับโฮสต์เพื่อกำหนดว่าจะส่งทราฟฟิกที่ไหน:
- ตรงไปยังโฮสต์ (โฮสต์ที่สองอยู่ในเครือข่ายย่อยเดียวกัน)
- ถึงเกตเวย์ (โฮสต์ที่สองอยู่ในเครือข่ายย่อยอื่น)
สิ่งที่เกิดขึ้นในกรณีของคุณคือลูกค้า "ผู้มีอำนาจ" ของคุณมีที่อยู่ IP 10.100.0.10 - 10.100.0.250(ฉันถือว่าซับเน็ตมาสก์เป็น255.0.0.0) 10.100.0.1เซิร์ฟเวอร์มีที่อยู่ IP ถึงโฮสต์จากช่วง "ผู้มีอำนาจ" เซิร์ฟเวอร์นี้ตั้งอยู่ในเครือข่ายย่อยเดียวกัน
หากโฮสต์10.100.0.10จากช่วง "ผู้มีอำนาจ" ต้องการพูดคุยกับเซิร์ฟเวอร์ - ก่อนอื่นตรวจสอบว่าเซิร์ฟเวอร์นี้อยู่ในเครือข่ายย่อยเดียวกันหรือไม่ สำหรับโฮสต์10.100.0.10กับเครือข่ายย่อยหน้ากากเครือข่ายย่อยเดียวกันจะเป็นเจ้าภาพในช่วง255.0.0.0 10.0.0.1 - 10.255.255.254ที่อยู่ IP ของเซิร์ฟเวอร์เกิดขึ้นในช่วงนี้ ด้วยเหตุนี้โฮสต์จากช่วง "ผู้มีอำนาจ" จึงพยายามเข้าถึงเซิร์ฟเวอร์โดยตรงและ (สมมติว่าพวกเขาอยู่ในเครือข่ายเลเยอร์ 2 เดียวกัน) ความพยายามนี้จึงสำเร็จ
ในกรณีนี้แม้ว่าเซิร์ฟเวอร์จะมี subnet mask ที่แตกต่างกัน แต่มันก็เกิดขึ้นที่ subnet ที่ใหญ่กว่า (ซึ่งก็เป็น subnet สำหรับไคลเอนต์ "Authorized") หากเซิร์ฟเวอร์ของคุณมีไบต์ที่สองที่แตกต่างกันในที่อยู่ IP ( 10.150.0.1ตัวอย่าง) เซิร์ฟเวอร์จะไม่สามารถตอบกลับโฮสต์จากช่วง "ผู้มีอำนาจ" เนื่องจากจากมุมมองของเซิร์ฟเวอร์ช่วง "ผู้มีอำนาจ" จะมีลักษณะเหมือน subnet และเซิร์ฟเวอร์อื่น จะต้องส่งทราฟฟิกไปยังเราเตอร์ หากไม่มีเราเตอร์ - ก็จะไม่มีการสื่อสาร
หากคุณต้องการแยกเครือข่ายของคุณไปยังส่วน "แขก" และ "ผู้มีอำนาจ" คุณต้องทำให้พวกเขาอยู่ในเครือข่ายย่อยต่าง ๆ ที่ไม่ทับซ้อนกัน
ตัวอย่างเช่น:
- "แขก" -
10.10.0.1หน้ากาก subnet255.255.0.0
- "ผู้มีอำนาจ" -
10.20.0.1, subnet mask255.255.0.0
เซิร์ฟเวอร์จะตั้งอยู่ภายใน "ผู้มีอำนาจ" เป็นส่วนหนึ่งของเครือข่ายที่มีอยู่ IP 10.20.0.100, 255.255.0.0มาสก์
ด้วยการตั้งค่านี้เครือข่ายย่อยเหล่านี้จะถูกแยกออกจากกันได้อย่างมีประสิทธิภาพเนื่องจากส่วนของที่อยู่ IP ที่เป็นตัวแทนเครือข่ายย่อยของพวกเขาจะแตกต่างกัน:
10.10 สำหรับแขก10.20 สำหรับผู้มีอำนาจ
ณ จุดนี้การสื่อสารระหว่างเครือข่ายย่อยเหล่านี้จะทำได้ผ่านเราเตอร์ที่มีส่วนต่อประสานในเครือข่ายย่อยทั้งสองเท่านั้น
ในขณะที่คอมพิวเตอร์ทุกเครื่องของคุณใช้เครือข่ายเลเยอร์ 2 เดียวกันไม่มีสิ่งใดที่จะป้องกันไม่ให้ผู้เยี่ยมชมกำหนดที่อยู่ IP ของตนเองจากช่วง "ผู้มีอำนาจ" ด้วยตนเอง สิ่งนี้จะทำให้พวกเขาเป็นส่วนหนึ่งของเครือข่ายที่ได้รับอนุญาตอย่างมีประสิทธิภาพ