En nätmask är ett mönster av bitar som kan användas för att isolera specifika delar av en IP-adress (Internet Protocol). När den appliceras på en IP-adress produceras nätverksgränssnittets värdadress och nätverksroutingprefix. Routningsprefixet är också känt som undernätet eller undernätverket. Nätmasker används av nätverksprogramvara och hårdvara för att isolera och hantera delar av nätverket.
När en undernätsmask logiskt OCH läggs till med ett nätverksgränssnitts IP-adress, blir resultatet startadressen för det undernät som gränssnittet tillhör. Den återstående delen av IP-nätverksadressen är gränssnittets värdidentifierare. En IP Version 4 (IPv4) subnätmask uttrycks vanligtvis med fyra oktetter i prickad decimalnotation. Som ett exempel kan man betrakta en 32-bitars IP-adress på 192.164.178.5 med en mask på 255.255.255.0. I det här fallet är undernätets startadress eller routningsprefix 192.164.178.0 och värdgränssnittets identifierare är 5.
Ett routingprefix uttrycks vanligtvis i Classless Inter-Domain Routing (CIDR) notation. Detta innebär att man följer prefixet med ett snedstreck och antalet signifikanta bitar i prefixet. Till exempel har en nätmask av 255.255.255.0 24 signifikanta bitar – alla i det här fallet. Om denna nätmask tillämpas på IPv4-adressen 192.164.178.5, blir prefixet i CIDR-notationen 192.164.178.0/24. CIDR-notation används också med IP Version 6 (IPv6)-adresser.
I IPv4-nätverk finns alla adresser med samma routingprefix på samma subnät. De är vanligtvis på samma länk eller fysiska nätverk bakom en enda router. Subnätet kan dock bestå av flera nätverkssegment, bryggor och switchar. IP-paket som är avsedda för ett annat routingprefix vidarebefordras av routern som är kopplad till det aktuella routingprefixet. I IPv6-nätverk finns adresser med identiska routingprefix inte nödvändigtvis på samma länk.
Konceptet med en nätmask introducerades i början av 1990-talet tillsammans med CIDR. Dessförinnan bestämde de fyra högordningens bitar av en IP-adress vilken klass av adresser den tillhörde. Klassen bestämde antalet bitar i routingprefixet och värdidentifieraren, såväl som undernätets start- och slutadresser. Ingen nätmask behövdes eftersom IP-adressen innebar all nödvändig information i sig själv. Denna typ av arkitektur är känd som ett klassrikt nätverk.
Processen att använda en subnätmask för att dela upp ett nätverk kallas subnäting. Med begränsat adressutrymme tillgängligt i IPv4-nätverk kan subnät användas för att effektivt organisera större nätverk. IPv6-nätverk ger stora adressutrymmen i jämförelse. IPv6-undernät används oftare för att separera lokala nätverk från Internet eller för att organisera nätverk i en världsomspännande skala.