O caso: uma empresa de exemplo contratou um link de internet dedicado com IP fixo. No contrato veio "bloco /29" e, no e-mail da operadora, a faixa 203.0.113.0/29. O dono quer saber quantos endereços públicos pode usar de fato e onde pôr o firewall, o servidor do sistema de gestão, o gravador das câmeras e a central telefônica IP. A faixa 203.0.113.0 é reservada para exemplos (RFC 5737). O bloco real vem da operadora.
Resposta curta: um /29 tem 8 endereços. O primeiro (rede) e o último (broadcast) não vão em aparelho: sobram 6. Quando o gateway da operadora fica dentro do bloco, ele ocupa mais um, e a empresa fica com 5. No caso, os 4 aparelhos cabem e ainda sobra 1 de reserva.
O que a operadora entregou
O IP fixo de um plano empresarial raramente é um endereço só. É comum a operadora entregar um bloco pequeno de endereços públicos, escrito com uma barra e um número, como /29. Esse número diz quantos bits do endereço são fixos e identificam a rede. Os bits que sobram numeram os endereços do bloco.
Esses endereços públicos servem para o que precisa ser alcançado de fora: o firewall que recebe a VPN das filiais, um servidor, um gravador de câmeras acessado pelo celular. Os computadores do escritório continuam numa faixa privada, como 192.168.0.0/24 (RFC 1918), e saem para a internet pelo firewall. Não é preciso um IP público por computador.
Passo 1: conte os endereços do bloco
A conta é a mesma de qualquer máscara:
- o endereço IPv4 tem 32 bits;
- o /29 fixa 29 bits e deixa 3 livres;
- 2 elevado a 3 = 8 endereços;
- máscara: 255.255.255.248;
- wildcard (o inverso da máscara, usado em ACLs): 0.0.0.7.
Em binário, o bloco do caso vai do primeiro ao último endereço assim:
| Endereço | Em binário (rede . aparelho) |
|---|---|
| 203.0.113.0 | 11001011.00000000.01110001.00000|000 |
| 203.0.113.7 | 11001011.00000000.01110001.00000|111 |
Os 3 bits do fim vão de todos em zero a todos em um. Todo o resto é igual nos 8 endereços, e é isso que os coloca no mesmo bloco.
Passo 2: tire o endereço da rede e o de broadcast
Pela regra de sub-redes (RFC 950), o primeiro endereço identifica a própria rede e o último é o de broadcast, que fala com todos ao mesmo tempo. Nenhum dos dois vai em aparelho.
8 endereços menos 2 = 6 endereços usáveis.
Passo 3: veja onde está o gateway
Aqui está a dúvida que mais confunde. O gateway é o endereço do roteador da operadora, para onde o seu firewall manda tudo que vai para a internet. Há dois jeitos comuns de entregar o bloco, e a operadora diz qual é o seu:
- Gateway dentro do bloco. O roteador da operadora usa um dos 6 endereços, em geral o primeiro, 203.0.113.1. A empresa fica com 5.
- Bloco roteado. A operadora liga o seu firewall por um link à parte (muitas vezes uma /30 ou /31) e manda o bloco inteiro para ele. O gateway fica nesse link, e os 6 endereços usáveis do bloco ficam com a empresa.
Se o e-mail da operadora traz "gateway" com um endereço que está dentro da sua faixa, você está no primeiro caso. Este guia segue esse caso, que é o mais apertado.
Passo 4: distribua os endereços
Com o gateway em 203.0.113.1, o bloco do caso fica assim:
| Endereço | Uso no caso de exemplo |
|---|---|
| 203.0.113.0 | Endereço da rede (não vai em aparelho) |
| 203.0.113.1 | Gateway da operadora |
| 203.0.113.2 | Firewall da empresa (saída dos computadores e VPN das filiais) |
| 203.0.113.3 | Servidor do sistema de gestão |
| 203.0.113.4 | Gravador das câmeras |
| 203.0.113.5 | Central telefônica IP |
| 203.0.113.6 | Reserva |
| 203.0.113.7 | Broadcast (não vai em aparelho) |
Dos 8 endereços, 5 ficam com a empresa. Isso é 62,5% do bloco. Os outros 3 são rede, broadcast e gateway.
Uma dica de organização: muitos firewalls permitem pôr vários IPs públicos na mesma porta e encaminhar cada um para um aparelho interno. Assim o servidor, o gravador e a central podem ficar na rede privada, atrás do firewall, e só o firewall fica exposto. Veja no manual do seu equipamento como ele chama esse recurso.
Passo 5: compare com os outros tamanhos de bloco
Se a conta não fechar, o próximo passo é pedir um bloco maior. A tabela mostra os tamanhos mais comuns, com o gateway dentro do bloco:
| Bloco | Máscara | Wildcard | Endereços | Usáveis | Para a empresa (sem o gateway) |
|---|---|---|---|---|---|
| /30 | 255.255.255.252 | 0.0.0.3 | 4 | 2 | 1 |
| /29 | 255.255.255.248 | 0.0.0.7 | 8 | 6 | 5 |
| /28 | 255.255.255.240 | 0.0.0.15 | 16 | 14 | 13 |
| /27 | 255.255.255.224 | 0.0.0.31 | 32 | 30 | 29 |
Cada barra a menos dobra o bloco. Do /29 para o /28, a empresa passa de 5 para 13 endereços.
Passo 6: descubra a faixa a partir de um IP e uma máscara
Às vezes a operadora não manda a faixa. Manda só "IP 203.0.113.10, máscara 255.255.255.248". Para achar o bloco:
- Pegue o último número do IP: 10.
- O bloco /29 anda de 8 em 8. Os blocos começam em 0, 8, 16, 24 e assim por diante.
- O 10 está no bloco que começa em 8. A rede é 203.0.113.8 e o broadcast é 203.0.113.15.
- Os endereços usáveis vão de 203.0.113.9 a 203.0.113.14.
Numa faixa de 256 endereços cabem 32 blocos /29. Por isso, dois clientes da mesma operadora podem ter IPs muito parecidos e estar em blocos diferentes. Use a calculadora de máscara de rede para conferir: digite o IP com /29 e ela mostra rede, broadcast e faixa usável.
Passo 7: veja quanto do bloco fica com a empresa
Quanto menor o bloco, maior o peso dos 3 endereços que não vão para a empresa (rede, broadcast e gateway). A conta, com o gateway dentro do bloco:
| Bloco | Endereços | Para a empresa | Parte do bloco que fica com a empresa |
|---|---|---|---|
| /30 | 4 | 1 | 25,0% |
| /29 | 8 | 5 | 62,5% |
| /28 | 16 | 13 | 81,3% |
| /27 | 32 | 29 | 90,6% |
Por isso o pedido de bloco deve partir da lista de aparelhos, e não do maior número que couber no orçamento. Com o gateway num link à parte, some 1 endereço à coluna "Para a empresa".
O que perguntar à operadora
Antes de configurar, peça por escrito:
- A faixa completa, com a barra (por exemplo, /29).
- O endereço do gateway e se ele fica dentro do bloco ou num link separado.
- A máscara que o firewall deve usar na porta ligada à operadora.
- Os endereços de DNS, se a operadora pedir que você use os dela.
- Se o plano também traz IPv6 e qual prefixo foi entregue.
Com essas respostas, a conta deste guia fecha em poucos minutos.
Erros comuns
- Pôr o primeiro ou o último endereço num aparelho. No bloco do caso, 203.0.113.0 e 203.0.113.7 não funcionam como endereço de aparelho.
- Usar o IP do gateway no firewall. Se a operadora usa 203.0.113.1, esse endereço é dela. Repetir o IP derruba a conexão.
- Errar a máscara no firewall. Com o bloco /29, a máscara é 255.255.255.248. Uma /24 no lugar faz o firewall achar que endereços de outros clientes estão na rede dele.
- Dar IP público para cada computador. Os computadores ficam na rede privada e saem pelo firewall. Os IPs públicos ficam para o que precisa ser alcançado de fora.
- Expor o gravador de câmeras direto na internet. Prefira deixá-lo atrás do firewall, com acesso por VPN, e mantenha a senha e o firmware em dia.
Checklist antes de configurar:
- [ ] Tenho por escrito a faixa, a máscara e o gateway informados pela operadora?
- [ ] O gateway está dentro do bloco ou num link à parte?
- [ ] Anotei qual IP público vai em cada aparelho?
- [ ] A máscara configurada no firewall é 255.255.255.248?
- [ ] A rede interna usa uma faixa privada diferente da faixa pública?
Perguntas frequentes
Quantos IPs válidos tem um bloco /29?
Tem 8 endereços e 6 usáveis. Se o gateway da operadora estiver dentro do bloco, sobram 5 para a empresa.
Qual é a máscara de um /29?
É 255.255.255.248. A wildcard, usada em listas de acesso, é 0.0.0.7.
A operadora passou o IP 203.0.113.10 com máscara 255.255.255.248. Qual é a minha faixa?
A rede é 203.0.113.8/29 e o broadcast é 203.0.113.15. Os endereços usáveis vão de 203.0.113.9 a 203.0.113.14. Um deles costuma ser o gateway: confirme com a operadora qual.
Preciso de 8 IPs públicos. Qual bloco pedir?
Some os 8 aparelhos, o gateway e os 2 endereços reservados (rede e broadcast): são 11. O menor bloco que comporta isso é o /28, com 16 endereços e 13 para a empresa.
Posso usar o endereço terminado em .0 do bloco?
Num bloco /29 comum, não. 203.0.113.0 é o endereço da rede. A exceção são links de só dois aparelhos com máscara /31, um caso à parte.
IP fixo deixa a internet mais rápida?
Não. O bloco só define quantos endereços públicos a empresa tem. A velocidade depende do plano e do link.
Para conferir rede, broadcast e faixa usável de qualquer bloco, use a calculadora de máscara de rede.
