For undernetting til arbeid, må ruteren bli fortalt hvilken del av verts-IDen som skal brukes til undernettverks-ID. Denne lille hånden er oppnådd ved å bruke et annet 32-biters nummer, kjent som en subnettmaske.
Disse IP-adressebitene som representerer nettverks-ID-en er representert av en 1 i masken, og de biter som representerer verts-ID-en, vises som en 0 i masken. Som et resultat har en subnetmaske alltid en sammenhengende streng av dem til venstre, etterfulgt av en streng nuller.
For eksempel vil delnettmasken for delnett som vises i figur 2-3, hvor nettverks-ID-en består av 16-biters nettverks-ID pluss et ekstra 4-bits delnett-ID, se slik ut:
11111111 11111111 11110000 00000000
Med andre ord er de første 20 bitene de, og de gjenværende 12 bitene er nuller. Således er det komplette nettverks-ID 20 biter i lengde, og den faktiske verts ID-delen av den subnette adressen er 12 biter i lengde.
For å finne nettverks-ID for en IP-adresse, må ruteren ha både IP-adressen og nettverksmasken. Ruteren utfører deretter en bitvis operasjon kalt en logisk OG på IP-adressen for å trekke ut nettverks-ID.
For å utføre en logisk OG, blir hver bit i IP-adressen sammenlignet med tilsvarende bit i undernettmasken. Hvis begge bitene er 1, blir den resulterende biten i nettverks-IDen satt til 1. Hvis en av brikkene er 0, blir den resulterende biten satt til 0.
Her er hvordan nettverksadressen hentes fra en IP-adresse ved hjelp av 20-biters nettverksmaske fra forrige eksempel:
144. 28. 16. 17 IP-adresse: 10010000 00011100 00010000 00010001 Delnettmaske: 11111111 11111111 11110000 00000000 Nettverks-ID: 10010000 00011100 00010000 00000000 144. 28. 16. 0
Nettverkets ID for dette delnett er således 144. 28. 16. 0.
Subnetmasken i seg selv er vanligvis representert i stiplede decimaltegn. Som et resultat vil den 20-biters subnettmasken som ble brukt i forrige eksempel, bli representert som 255. 255. 240. 0:
Subnetmaske: 11111111 11111111 11110000 00000000 255. 255. 240. 0
Ikke forvirre en nettverksmaske med en IP-adresse. En nettverksmaske representerer ikke noen enhet eller nettverk på Internett. Det er bare en måte å angi hvilken del av en IP-adresse som skal brukes til å bestemme nettverks-ID. (Du kan oppdage en nettverksmaske med en gang fordi den første oktetten alltid er 255, og 255 er ikke en gyldig første oktett for en hvilken som helst klasse av IP-adresse.)