En subnettmaske er en bitmaske som viser hvor nettverksadressene slutter og vertsadressene begynner. CIDR bruker en variabel lengde på submasken, VLSM (variable length subnet masks), for å allokere IP-adresser til subnett for å passe spesifikke behov i stedet for å bruke generelle nettverksregler. Oppdelingen mellom nettverk og vert kan skje ved alle bit-grenser i adressen. Prosessen kan være rekursiv, hvilket gjør at en del av adresserommet kan bli oppdelt i enda mindre biter gjennom å bruke en maske som dekker flere biter.