user@netcalc ~/calc $
ipv4_calculator
Calculate network, broadcast, mask, hosts, class and binary for any IPv4 address
ip:
mask:
✓ stdout — ipv4_calculator
Enter runs the calculation · Shift+Enter inserts a new line
user@netcalc ~/calc $
ipv6_calculator
Calculate network info for IPv6 addresses in CIDR notation
ipv6:
pfx:
✓ stdout — ipv6_calculator
user@netcalc ~/calc $
vlsm_calculator
Variable Length Subnet Mask — assigns optimal blocks for each network segment
net:
pfx:
// Subnets required
name:
hosts:
name:
hosts:
name:
hosts:
✓ stdout — vlsm_calculator
| # | Name | Hosts Req | Hosts Avail | Prefix | Network | First Host | Last Host | Broadcast | Mask |
|---|
user@netcalc ~/calc $
usable_ip_range
Shows the exact usable host range for a given network
ip:
mask:
✓ stdout — usable_ip_range
user@netcalc ~/calc $
binary_ip_calc
Convert IP addresses to binary and vice versa, with per-octet visualization
dec:
bin:
✓ stdout — binary_ip_calc
user@netcalc ~/network $
cidr_converter
Convert between CIDR, decimal mask and wildcard. Includes full /1–/32 reference table.
in:
✓ stdout — cidr_converter
📋 CIDR Reference Table
| CIDR | Subnet Mask | Wildcard | Hosts | /24 subnets | Block |
|---|
user@netcalc ~/network $
wildcard_mask_calc
Calculate the wildcard (inverse) mask for Cisco ACLs, OSPF and firewall rules
mask:
✓ stdout — wildcard_mask_calc
user@netcalc ~/network $
supernet_calculator
Find the minimum supernet containing all specified networks (route summarization)
nets:
✓ stdout — supernet_calculator
user@netcalc ~/network $
subnet_splitter
Split a network into equal subnets by specifying a new prefix
net:
mask:
new:
✓ stdout — subnet_splitter
| # | Network | First Host | Last Host | Broadcast | Hosts | Mask |
|---|
user@netcalc ~/network $
range_to_cidr
Convert an IP range (start–end) to the minimum set of CIDR blocks
start:
end:
✓ stdout — range_to_cidr
| # | CIDR Block | Network | Broadcast | Hosts |
|---|
user@netcalc ~/network $
ip_to_integer
Convert IPv4/IPv6 addresses to integer and vice versa
ip:
int:
✓ stdout — ip_to_integer
user@netcalc ~/network $
ipv6_normalize
Expand and compress IPv6 addresses — normalize any valid format
ipv6:
✓ stdout — ipv6_normalize
user@netcalc ~/network $
hex_ip_converter
Convert between hexadecimal and IP address — useful for Windows route tables and Cisco logs
ip:
0x:
✓ stdout — hex_ip_converter
user@netcalc ~/network $
vlan_calculator
802.1Q VLAN info: tag encoding, PCP, DEI, VID, range and compatibility
vlan:
pcp:
dei:
✓ stdout — vlan_calculator
user@netcalc ~/dns $
reverse_dns_generator
Generate the PTR in-addr.arpa zone for an IPv4 network
net:
pfx:
dom:
✓ stdout — reverse_dns_generator
user@netcalc ~/dns $
ipv6_ptr_generator
Generate the PTR ip6.arpa record for an IPv6 address
ipv6:
host:
✓ stdout — ipv6_ptr_generator
user@netcalc ~/dns $
ip_geolocation
Locate a public IP or resolve a domain and geolocate its public address
Domains are resolved through DNS first; geolocation is based on the resulting public IP.
geo:
✓ stdout — ip_geolocation
user@netcalc ~/dns $
ip_address_planner
Interactive IP address space planner — click cells to edit, export to CSV
📋 IP Address Plan
| # | Name | Network | Mask/CIDR | Gateway | VLAN | Location | Notes |
|---|
user@netcalc ~/legal $
Privacy
Data stored in your browser
Theme, language, promotion dismissal and calculation history are stored in localStorage on this device.
Calculations
Calculations are sent through this site's same-origin Worker proxy to the private calculation service.
Performance metrics
LCP, CLS and INP may be stored as aggregate performance measurements by tool and language. Calculation inputs and persistent user identifiers are not included.
GeoIP
Only GeoIP lookups are processed by an external provider. The requested IP address is sent for that lookup.
Issue reports via Telegram
A report link opens the public Telegram bot and includes only the current page slug in the bot start parameter. Calculator inputs and report text are not sent by this website. Text you choose to send inside Telegram is handled by Telegram and the bot.
Cookies and advertising
Advertising is controlled by the production configuration. When Google AdSense is enabled, consent is handled through a certified CMP before personalized advertising is used where required.
Delete local data
Use the button below to clear calculation history. To remove every local preference, clear this site's data in your browser settings.
This page provides operational information; it is not a legal-compliance certification.
Routing asimétrico y firewalls stateful: por qué tráfico válido aparece INVALID
Entiende cómo caminos distintos de ida y vuelta rompen el seguimiento de estado y cómo demostrar la asimetría antes de relajar el firewall.
01
Un firewall stateful espera una conversación coherente
Connection tracking aprende un flujo a partir de los paquetes que ve. Si la ida cruza un router y la vuelta lo evita, el primer firewall puede ver solo media conversación y clasificar paquetes posteriores como INVALID o fuera de estado.
02
Demuestra la asimetría antes de relajar drops INVALID
Registrar temporalmente estado, interfaces y cinco-tuplas es más seguro que aceptar tráfico INVALID sin más. Compara traceroutes, tablas y capturas en ambos sentidos hasta identificar el equipo que solo ve un lado del flujo.
03
ECMP y caminos de backup pueden hacerlo intermitente
ECMP, policy routing y enlaces de respaldo pueden mover solo algunos flujos por otro retorno. El fallo parece aleatorio aunque la decisión sea determinista para cada hash o condición de política.
04
Corrige simetría o ubicación del estado primero
La solución limpia suele ser que ambos sentidos atraviesen la misma frontera stateful, o colocar el filtrado donde ambos estén garantizados. Las excepciones amplias para INVALID deben ser el último recurso y muy acotadas.
05
Usa timestamps de captura para emparejar ambos sentidos
Capturar en el firewall sospechoso y en un router adyacente puede mostrar SYN saliendo por uno y SYN/ACK volviendo por otro. Emparejar cinco-tuplas y tiempos es evidencia más fuerte que un único traceroute.
06
Policy routing puede ocultar la asimetría en un solo sentido
Reglas por origen, VRF y marcas pueden sustituir la tabla principal. Inspecciona la decisión aplicada al origen y connection-mark exactos en vez de confiar solo en un lookup genérico.
07
Mantén controles estrechos durante el diagnóstico
Si necesitas una excepción temporal, limítala por interfaz, origen y destino y retírala tras demostrar el camino. Convertir un drop INVALID global en accept puede ocultar spoofing o estados obsoletos no relacionados.
EX
Ejemplo trabajado
- Captura una conexión TCP nueva en el firewall stateful.
- Anota interfaces de entrada/salida del SYN y busca el SYN/ACK de vuelta.
- Haz route lookup en ambos sentidos con el contexto real de políticas.
- Corrige routing para que ambos sentidos crucen la misma frontera de estado y repite con el drop INVALID normal activo.
✓
Checklist operativo
- Demuestra por dónde viaja cada sentido.
- Revisa policy routing y ECMP además de la tabla principal.
- Acota excepciones temporales de firewall.
- Restaura el tratamiento normal de INVALID tras corregir rutas.
Herramientas para ponerlo en práctica
Estándares y referencias
🕐 History