Mặt nạ mạng con (tiếng Anh: Subnet mask) hay còn gọi là subnet, subnet work là sự phân chia lô gic địa chỉ TCP/IP.[1] Để phân chia địa chỉ mạng thành 2 hoặc nhiều mạng con thì được gọi theo thuật ngữ tiếng Anh là subnetting.
Một tổ chức nào đó được InterNIC cấp cho một số địa chỉ IP nhất định với các máy tính đặt ở các nơi khác nhau. Để quản lý mạng hiệu quả, người ta phân chia mạng của tổ chức này thành các mạng con và nối kết với nhau thông qua các router. Những mạng con được gọi là các subnet. Mục đích phân chia mạng con là vì:
Một điều quan trọng là mỗi một subnet vẫn là một phần của mạng nhưng nó cũng cần được phân biệt với các subnet khác bằng cách thêm vào một định danh nào đó. Định danh này được gọi là subnet address. Để phân chia thành các mạng subnet, trước hết cần định rõ số lượng subnet của mạng và số thiết bị trong mỗi subnet, trong khi đó router trên mỗi một subnet chỉ cần biết các thông tin địa chỉ của mỗi máy trên một subnet mà nó quản lý.