“子网掩码不合法”——这七个字弹在屏幕上时，网掩老张正端着搪瓷杯喝茶。合法他手一抖，网掩茶水洒在键盘上。合法办公室里没人注意到他，网掩只有隔壁工位的合法小李探过头来：“张工，又配错了？网掩”老张没吭声，把杯子往桌角一推，合法盯着那行红字发愣。网掩他干了八年网络运维，合法头一回被这个提示卡住。网掩

问题出在一台新上架的合法交换机。管理口配的网掩是192.168.10.1/24，网关写192.168.10.254。合法按理说没毛病。网掩可保存时系统就是不让过，反复报“子网掩码不合法”。老张把掩码从255.255.255.0换成255.255.0.0，又试了255.255.255.128，甚至手滑打成255.255.255.256——最后这个数字本身就不该存在，但系统报的错还是同一句。他骂了句粗口，把配置截图发到技术群里。

群里炸出几个夜猫子。有人回：“你那个/24是不是写成了/33？”老张翻回去看，前缀长度确实填的24。另一个人甩了张RFC文档截图，说某些厂商的固件会把0.0.0.0之外的掩码都判为非法，哪怕你写的是标准值。老张这才想起来，这台交换机是二手淘来的，固件版本停在2016年。他试着把掩码改成255.255.255.252——一个只有两个可用地址的/30段——居然通过了。可那样网关和本机就不在同一子网了，等于白配。

真正的原因在第三天早上才浮出来。老张把设备恢复出厂设置，一步步重配，发现只要先配了VLAN接口地址，再回头改管理口掩码，系统就会把两个配置的掩码做“一致性校验”。而那个VLAN接口的掩码，他之前随手填了255.255.255.240。两个掩码一对比，管理口的/24就被判成“不合法”。换句话说，设备把不同接口的掩码当成了同一个逻辑网络里的参数来检查。这设计蠢得让人想笑，可它就真实地卡了老张三天。

我后来查过，这种“子网掩码不合法”的报错至少对应四种情况：掩码本身不是连续1后跟连续0（比如255.0.255.0）；掩码长度超出协议允许范围（IPv4是0到32）；掩码与IP地址类别冲突（比如A类地址配了255.255.255.252）；还有厂商私有的校验逻辑。老张碰上的就是最后一种。他最后把VLAN接口掩码改成和管理口一样，问题消失。可那台交换机的VLAN划分就全乱了，只能绕开管理口，用console线重刷固件。

这事让我想起刚入行时，师傅跟我说过一句话：网络设备报的错，一半是它自己没想明白。子网掩码这东西，理论上就32位二进制，前导1后面全0，简单得像小学数学。可一旦落到具体设备上，不同厂商、不同固件、不同配置顺序，都能让这个“简单”变成一堵墙。你按RFC文档写，它说你不合法；你按它说明书改，它又和别的接口打架。最后你只能蹲在机房，对着console口一行行敲，像在跟一台脾气古怪的老机器谈判。

老张后来把那台交换机退了。卖家说“功能正常”，老张没争辩，只在退货备注里写了句：“建议买家先确认固件版本。”他没提子网掩码的事。有些坑，踩过的人才知道疼。而屏幕上那行红字，至今还在他脑子里闪——每次配掩码，他都会多看一眼，像检查门锁有没有反锁。