IP-Adressen, Subnetze und CIDR-Notation im Netzwerk verstehen

Eine IP-Adresse identifiziert ein Gerät innerhalb eines Netzwerks, während ein Subnetz eine logische Unterteilung dieses Netzwerks darstellt. Die CIDR-Notation beschreibt die Länge des Netzwerkpräfixes mithilfe eines Schrägstrichs und einer Zahl, beispielsweise 192.168.1.0/24. Das Zusammenspiel von IP-Adressen, Subnetzen und CIDR zu verstehen, ist eine wichtige Grundlage für die Konfiguration von Servern, Netzwerkinfrastrukturen, Cloud-Umgebungen und Sicherheitsrichtlinien. Zu den maßgeblichen Spezifikationen gehören RFC 4632 für Classless Inter-Domain Routing sowie RFC 1918 für private IPv4-Adressbereiche.

Bevor Sie sich mit diesen Themen beschäftigen, ist es hilfreich, grundlegende Netzwerkbegriffe, Schnittstellen und Protokolle zu kennen.

Dieser Leitfaden erläutert die Adressierung auf der IP-Ebene. Dazu gehören der Aufbau von IPv4-Adressen, historische Adressklassen, Subnetzmasken, CIDR-Präfixe, Variable Length Subnet Masking (VLSM) sowie die Anwendung der Slash-Notation bei IPv6 mit seinem 128 Bit großen Adressraum. Die einzelnen Abschnitte bauen inhaltlich aufeinander auf.

Die wichtigsten Punkte im Überblick

• Eine IPv4-Adresse besteht aus 32 Bit und wird üblicherweise als vier dezimale Oktette dargestellt, beispielsweise 192.168.0.5. Eine IPv6-Adresse besteht aus 128 Bit und wird normalerweise in acht Gruppen mit jeweils vier hexadezimalen Zeichen geschrieben.
• Eine Subnetzmaske trennt den Netzwerkanteil einer IP-Adresse vom Hostanteil. Die Maske 255.255.255.0, entsprechend /24, bedeutet, dass die ersten 24 Bit das Netzwerk kennzeichnen.
• Bei den meisten IPv4-Netzen mit Präfixen von /0 bis /30 ist die erste Adresse die Netzwerkadresse und die letzte Adresse die Broadcast-Adresse. Beide können normalerweise keinem Host zugewiesen werden. Punkt-zu-Punkt-Verbindungen mit /31 bilden gemäß RFC 3021 eine Ausnahme.
• Die CIDR-Notation kombiniert eine IP-Adresse mit einer Präfixlänge, beispielsweise 10.0.0.0/8, ohne dabei an die historischen Klassengrenzen gebunden zu sein.
• RFC 1918 definiert drei private IPv4-Bereiche: 10.0.0.0/8, 172.16.0.0/12 und 192.168.0.0/16. Diese Adressbereiche werden nicht über das öffentliche Internet geroutet.
• VLSM ermöglicht unterschiedliche Präfixlängen innerhalb desselben Adressraums, sodass jedes Subnetz passend zu seinen tatsächlichen Anforderungen dimensioniert werden kann.
• IPv6 verwendet dieselbe Slash-basierte Präfixnotation wie IPv4. Ein übliches IPv6-Subnetz nutzt normalerweise ein /64-Präfix, sodass 64 Bit für die Hostadressierung verbleiben.

Was ist eine IP-Adresse?

Eine IP-Adresse ist eine numerische Kennzeichnung, die einem Gerät in einem Netzwerk zugewiesen wird, das das Internet Protocol verwendet. Sie dient dazu, einen Host zu identifizieren und seine Position innerhalb der Netzwerktopologie festzulegen.

Aufbau einer IPv4-Adresse und Punkt-Dezimal-Notation

Eine IPv4-Adresse besteht aus insgesamt 32 Bit, die in vier Abschnitte mit jeweils 8 Bit unterteilt werden. Diese Abschnitte sind durch Punkte getrennt und werden als Dezimalwerte zwischen 0 und 255 dargestellt. Geräte benötigen solche Adressen, damit andere Systeme mit ihnen kommunizieren können. Auf der Netzwerkschicht des TCP/IP-Modells übernimmt die IP-Adresse diese Aufgabe. Jeder 8-Bit-Abschnitt wird als Oktett bezeichnet.

Eine typische IPv4-Adresse sieht beispielsweise so aus:

192.168.0.5

Der kleinste mögliche Wert eines Oktetts ist 0, der größte mögliche Wert 255.

Dieselbe Adresse lässt sich auch binär darstellen. Im folgenden Beispiel trennen Leerzeichen jeweils vier Bit, während Bindestriche die einzelnen Oktette voneinander abgrenzen:

1100 0000 – 1010 1000 – 0000 0000 – 0000 0101

Zu erkennen, dass die dezimale und die binäre Schreibweise dieselbe Adresse repräsentieren, ist besonders wichtig, wenn Sie mit Subnetzmasken und CIDR-Präfixen arbeiten.

IP-Adressen ermöglichen die Kommunikation zwischen Netzwerkressourcen über Netzwerkschnittstellen. Möchte ein Computer Daten mit einem anderen System austauschen, sendet er diese an die IP-Adresse des Zielgeräts. Befinden sich beide Geräte im selben Netzwerk oder existieren geeignete Netzwerkgeräte, die den Datenverkehr zwischen unterschiedlichen Netzen routen oder übersetzen können, ist eine Kommunikation möglich.

Network Address Translation (NAT) kann Adressinformationen verändern, wenn Datenpakete Netzwerkgrenzen überschreiten. Dadurch ist es möglich, identische private IP-Adressen in voneinander getrennten Netzwerken zu verwenden und gleichzeitig externe Kommunikation zuzulassen, sofern Routing und Adressübersetzung entsprechend eingerichtet sind.

IPv4-Adressklassen A, B, C, D und E

Eine IP-Adresse besteht sowohl aus einem Netzwerkanteil als auch aus einem Hostanteil. An welcher Stelle der Netzwerkanteil endet und der Hostanteil beginnt, hängt von der jeweiligen Netzwerkkonfiguration ab.

Historisch wurden IPv4-Adressen in fünf Klassen mit den Bezeichnungen A, B, C, D und E eingeteilt. Ausschlaggebend waren die führenden Bits der Adresse. Die folgende Tabelle zeigt die Grenzen, Standardmasken und traditionellen Einsatzzwecke dieser Klassen.

Zwei Bereiche innerhalb des historischen Klasse-A-Adressraums sind reserviert und nicht für die reguläre Vergabe an Hosts vorgesehen. Der Bereich 0.0.0.0/8 steht für den sogenannten „this network“-Adressraum und kann als Quelladresse verwendet werden, bevor ein Host eine eigene Adresse erhalten hat. Der Bereich 127.0.0.0/8 ist für Loopback-Kommunikation reserviert und ermöglicht es einem System, den eigenen Netzwerk-Stack zu testen. Besonders häufig wird dafür die Adresse 127.0.0.1 verwendet.

Adressen der Klasse D sind für Multicast-Kommunikation vorgesehen, bei der Pakete an eine definierte Gruppe von Systemen übertragen werden können. Adressen der Klasse E sind für experimentelle Zwecke reserviert und werden im normalen Betrieb kaum verwendet.

Moderne Routingverfahren basieren nicht mehr auf dem klassenbasierten Adressmodell. RFC 1519 führte 1993 CIDR ein, das 2006 durch RFC 4632 weitergeführt und aktualisiert wurde. CIDR erlaubt Präfixgrenzen an beliebigen Bitpositionen und ist daher nicht an historische Adressklassen gebunden. Die Klassen A bis E sind heute hauptsächlich für historische Zusammenhänge und das Verständnis früherer Standardmasken relevant.

Öffentliche und private IP-Adressen

IP-Adressen lassen sich grundsätzlich in öffentliche und private Adressen unterteilen. Öffentliche IP-Adressen können weltweit über das Internet geroutet werden. Private IPv4-Adressen werden durch RFC 1918 definiert und sind für den Einsatz innerhalb privater Netzwerke vorgesehen.

Private Adressbereiche erscheinen nicht als reguläre Zielrouten im öffentlichen Internet. Pakete mit einem privaten Ziel können daher nicht einfach über öffentliche Router bis zu einem entfernten privaten Netzwerk weitergeleitet werden. Systeme mit privaten Adressen verwenden deshalb Technologien wie NAT, wenn sie Verbindungen zu öffentlich gerouteten Netzwerken aufbauen müssen.

Der Adressbereich 127.0.0.0/8 ist für Loopback-Kommunikation reserviert. Damit kann ein Host mit seinem eigenen Netzwerk-Stack kommunizieren. Obwohl meistens 127.0.0.1 verwendet wird, ist der gesamte Bereich 127.0.0.0/8 für diesen Zweck vorgesehen.

Eine vollständige Übersicht über reservierte IPv4-Blöcke finden Sie in der IANA IPv4 Special-Purpose Address Registry.

Was ist ein Subnetz?

Ein Subnetz, auch Subnetwork genannt, ist ein logisch abgegrenzter Teil eines größeren IP-Netzwerks. Beim Subnetting wird ein größerer Adressblock in mehrere kleinere Blöcke aufgeteilt, die jeweils als eigenständige Netzwerksegmente fungieren.

Warum Subnetze eingesetzt werden

Subnetze können Broadcast-Datenverkehr reduzieren, Netzwerkbereiche aus Sicherheitsgründen voneinander trennen und eine bedarfsgerechte Adressverteilung ermöglichen. Dadurch ist es nicht notwendig, Adressbereiche ausschließlich anhand historischer Klassen zu dimensionieren.

Broadcast-Domänen zeigen besonders deutlich, warum Subnetting sinnvoll ist. In einem großen flachen Netzwerk erreichen Broadcasts wie ARP-Anfragen und DHCP-Discovery-Pakete grundsätzlich alle verbundenen Hosts. Ein flaches /16-Netz mit ungefähr 60.000 Systemen zwingt jedes Gerät dazu, Broadcasts aus dem gesamten Netz zu verarbeiten. Erzeugt ein einzelnes System sehr viel Broadcast-Verkehr, kann dies die Leistung des gesamten Segments beeinträchtigen. Wird ein solches /16-Netz dagegen in mehrere /24-Netze aufgeteilt, beschränkt sich jede Broadcast-Domäne auf ungefähr 254 Hosts. Ein Broadcast-Problem in einem Segment wirkt sich dann nicht automatisch auf alle anderen Segmente aus.

Subnetze können außerdem als Grenzen für Sicherheits- und Routingregeln dienen. Firewall-Regeln, Routingrichtlinien und Zugriffsbeschränkungen lassen sich auf konkrete Adressbereiche anwenden. Beispielsweise kann ein Datenbanksegment mit 10.10.2.0/24 so konfiguriert werden, dass ausschließlich Systeme aus einem Websegment mit 10.10.1.0/24 darauf zugreifen dürfen. Ohne getrennte Adressbereiche gäbe es keine eindeutige Subnetzgrenze, auf die sich solche Regeln beziehen könnten.

Subnetting verbessert darüber hinaus die Effizienz bei der Adressverteilung. Eine Punkt-zu-Punkt-Verbindung benötigt möglicherweise nur ein /30-Netz mit zwei nutzbaren Hostadressen, während ein größeres Benutzersegment ein /24-Netz mit 254 nutzbaren Adressen verwenden kann. Unterschiedliche Netzwerksegmente müssen dadurch nicht immer gleich große Adressblöcke belegen. Genau dieses Prinzip bildet die Grundlage von VLSM.

Netzwerkadresse und Hostadresse erklärt

Jede IP-Adresse setzt sich logisch aus zwei Bestandteilen zusammen: einem Netzwerkanteil und einem Hostanteil. Der Netzwerkanteil kennzeichnet das Subnetz, während der Hostanteil ein konkretes Gerät innerhalb dieses Subnetzes identifiziert.

Betrachten Sie beispielsweise die Adresse 192.168.0.15 in einem /24-Netz. Der Netzwerkanteil lautet 192.168.0, der Hostanteil ist 15. Binär dargestellt ergibt sich:

1100 0000 – 1010 1000 – 0000 0000 – 0000 1111

Die ersten 24 Bit, also die ersten drei Oktette, kennzeichnen das Netzwerk. Die verbleibenden 8 Bit bilden den Hostanteil.

Durch eine bitweise UND-Verknüpfung zwischen einer IP-Adresse und der zugehörigen Subnetzmaske werden die Hostbits auf 0 gesetzt. Das Ergebnis ist die Netzwerkadresse:

1100 0000 – 1010 1000 – 0000 0000 – 0000 1111 (192.168.0.15)

AND

1111 1111 – 1111 1111 – 1111 1111 – 0000 0000 (255.255.255.0)

=============================================================

1100 0000 – 1010 1000 – 0000 0000 – 0000 0000 (192.168.0.0)

Die daraus resultierende Netzwerkadresse lautet 192.168.0.0. Die Hostkennung wird durch 0000 1111 repräsentiert, was dem Dezimalwert 15 entspricht.

Broadcast-Adressen und ihre Bedeutung

Die erste Adresse eines Subnetzes ist die Netzwerkadresse. Bei ihr sind sämtliche Hostbits auf 0 gesetzt. Die letzte Adresse ist die Broadcast-Adresse, bei der sämtliche Hostbits den Wert 1 besitzen. Pakete, die an die Broadcast-Adresse gesendet werden, erreichen alle Hosts innerhalb des jeweiligen Subnetzes. Unter normalen Bedingungen können weder Netzwerkadresse noch Broadcast-Adresse einem einzelnen Host zugewiesen werden.

Diese Regel bezieht sich auf die tatsächlich erste und letzte Adresse des jeweiligen Subnetzes und nicht pauschal auf Adressen, deren letztes Oktett 0 oder 255 lautet. Im Netz 10.0.1.0/24 ist beispielsweise 10.0.1.0 die Netzwerkadresse und 10.0.1.255 die Broadcast-Adresse. Im Netz 10.0.2.128/25 lautet die Netzwerkadresse dagegen 10.0.2.128, während 10.0.2.255 die Broadcast-Adresse ist.

Was ist eine Subnetzmaske?

Eine Subnetzmaske ist ein 32-Bit-Wert, der festlegt, welche Bits einer IPv4-Adresse zum Netzwerkanteil und welche zum Hostanteil gehören. Bits mit dem Wert 1 kennzeichnen den Netzwerkanteil, während Bits mit dem Wert 0 für Hostadressen zur Verfügung stehen.

Funktionsweise von Subnetzmasken in Binärdarstellung

Die Subnetzmaske eines /24-Netzes lautet 255.255.255.0. In binärer Form und in Vierergruppen dargestellt sieht sie folgendermaßen aus:

1111 1111 – 1111 1111 – 1111 1111 – 0000 0000

Die ersten 24 Bit stehen auf 1 und bilden damit den Netzwerkanteil. Die letzten 8 Bit stehen auf 0 und sind für Hostadressen verfügbar.

Die folgende Übersicht stellt häufig verwendete Präfixlängen mit ihrer binären und dezimalen Subnetzmaske gegenüber:

/8 → 11111111.00000000.00000000.00000000 → 255.0.0.0

/16 → 11111111.11111111.00000000.00000000 → 255.255.0.0

/24 → 11111111.11111111.11111111.00000000 → 255.255.255.0

/25 → 11111111.11111111.11111111.10000000 → 255.255.255.128

/26 → 11111111.11111111.11111111.11000000 → 255.255.255.192

/27 → 11111111.11111111.11111111.11100000 → 255.255.255.224

/28 → 11111111.11111111.11111111.11110000 → 255.255.255.240

/29 → 11111111.11111111.11111111.11111000 → 255.255.255.248

/30 → 11111111.11111111.11111111.11111100 → 255.255.255.252

Um ein /24-Netz in zwei gleich große Subnetze aufzuteilen, wird ein zusätzliches Bit aus dem Hostanteil für das Netzwerk verwendet. Dadurch entsteht ein Präfix mit insgesamt 25 Netzwerkbits:

1111 1111 – 1111 1111 – 1111 1111 – 1000 0000

Dieser Binärwert entspricht der Subnetzmaske 255.255.255.128 beziehungsweise dem Präfix /25. Es handelt sich um eine Maske und nicht um eine Netzwerkadresse. Wird sie auf 192.168.0.0/24 angewendet, entstehen zwei getrennte Subnetze:

• Subnetz 1: Netzwerkadresse 192.168.0.0, Broadcast-Adresse 192.168.0.127, nutzbare Adressen von 192.168.0.1 bis 192.168.0.126, insgesamt 126 nutzbare Hosts.
• Subnetz 2: Netzwerkadresse 192.168.0.128, Broadcast-Adresse 192.168.0.255, nutzbare Adressen von 192.168.0.129 bis 192.168.0.254, ebenfalls 126 nutzbare Hosts.

Werden weitere Subnetze benötigt, können zusätzliche Bits aus dem Hostanteil für die Netzwerkadressierung verwendet werden. Jedes zusätzliche Bit verdoppelt die Anzahl der möglichen Subnetze und halbiert gleichzeitig die Anzahl der Hostadressen innerhalb jedes einzelnen Subnetzes.

Standard-Subnetzmasken historischer IP-Klassen

Im früheren klassenbasierten Adressierungsmodell war jeder Klasse eine feste Standardmaske zugeordnet, die an der jeweiligen Klassengrenze ausgerichtet war:

Mit CIDR haben diese historischen Standardmasken lediglich informativen Charakter. Präfixlängen von /0 bis /32 können unabhängig davon verwendet werden, welcher klassischen Adressklasse eine Adresse früher zugeordnet worden wäre.

Nutzbare Hosts anhand einer Subnetzmaske berechnen

Für ein bestimmtes IPv4-Präfix lässt sich die Gesamtzahl der Adressen mit der Formel 2^(32 – Präfix) bestimmen. Bei regulären Präfixen von /0 bis /30 werden davon zwei Adressen abgezogen: eine für die Netzwerkadresse und eine für die Broadcast-Adresse.

Für ein /24-Netz ergibt sich: 2^(32 – 24) = 2^8 = 256 Adressen insgesamt. Nach Abzug von Netzwerk- und Broadcast-Adresse bleiben 254 nutzbare Hostadressen.

Bei einem /26-Netz lautet die Rechnung: 2^(32 – 26) = 2^6 = 64 Adressen insgesamt. Davon sind 62 regulär für Hosts nutzbar.

Ein /31-Präfix bildet eine besondere Ausnahme, die in RFC 3021 für Punkt-zu-Punkt-Verbindungen definiert ist. Beide enthaltenen Adressen können verwendet werden, weil dort keine klassische Netzwerk- und Broadcast-Adresse benötigt wird. Ein /32-Präfix kennzeichnet dagegen eine einzelne Hostroute.

Wenn Sie nicht von einem Präfix, sondern von einer benötigten Hostanzahl ausgehen, wählen Sie den kleinsten Adressblock, dessen nutzbare Kapazität den Bedarf erfüllt:

Ein Netzwerksegment, das beispielsweise 30 Hosts benötigt, erfordert ein /27-Präfix. Ein /28 stellt lediglich 14 nutzbare Adressen bereit, während ein /27 genau 30 nutzbare Hosts ermöglicht.

Was ist CIDR-Notation?

CIDR steht für Classless Inter-Domain Routing und verbindet eine Netzwerkadresse mit ihrer Präfixlänge in einer einzigen Schreibweise. Die Präfixlänge steht nach einem Schrägstrich hinter der IP-Adresse. Die Angabe 192.168.0.15/24 bedeutet beispielsweise, dass die ersten 24 Bit den Netzwerkanteil bilden.

Wie CIDR die klassenbasierte Adressierung ersetzt hat

CIDR ersetzte die traditionelle klassenbasierte IP-Adressierung, weil feste Adressklassen große Mengen an Adressraum verschwendeten und gleichzeitig zu immer größeren Routingtabellen führten. Vor CIDR mussten Adresszuteilungen festen Klassengrößen folgen. Ein Klasse-B-Netz bot unabhängig vom tatsächlichen Bedarf 65.534 nutzbare Hostadressen, während ein Klasse-C-Netz lediglich 254 Adressen bereitstellte. Eine passgenaue Vergabe war daher kaum möglich, und häufig mussten zahlreiche einzelne Klasse-C-Netze vergeben werden.

RFC 1519 führte CIDR 1993 ein. Das Konzept wurde später in RFC 4632 aus dem Jahr 2006 aktualisiert und zusammengeführt. CIDR erlaubt Adressblöcke mit beliebigen Präfixlängen und ermöglicht dadurch eine bessere Anpassung an den tatsächlichen Bedarf. Gleichzeitig unterstützt CIDR die Routenaggregation, sodass mehrere zusammenhängende Adressblöcke durch ein einziges größeres Präfix zusammengefasst werden können. Dadurch lässt sich die Größe von Routingtabellen reduzieren.

Einen CIDR-Block lesen: Netzwerkpräfix und Hostbits

Ein CIDR-Block besteht aus einem Netzwerkpräfix und einem Hostanteil. Die Präfixlänge gibt an, wie viele führende Bits festgelegt sind und das Netzwerk kennzeichnen. Alle übrigen Bits können variieren und dienen zur Adressierung einzelner Hosts innerhalb dieses Netzwerks.

Für 192.168.0.0/24 gilt:

• Netzwerkpräfix: die ersten 24 Bit, dargestellt als 192.168.0.
• Hostanteil: die letzten 8 Bit mit Werten von 0 bis 255, also insgesamt 256 möglichen Adressen.

Für 10.0.0.0/8 gilt:

• Netzwerkpräfix: die ersten 8 Bit, dargestellt durch 10.
• Hostanteil: die verbleibenden 24 Bit mit Werten von 0 bis 16.777.215, was insgesamt 16.777.216 Adressen ergibt.

CIDR-Beispiele für /8, /16, /24, /26 und /30

Gängige CIDR-Blöcke unterscheiden sich erheblich in ihrer Größe. Ein Netz mit 192.168.1.0/24 bietet beispielsweise 254 nutzbare Hosts, 192.168.1.0/26 bietet 62 und 10.0.0.112/30 stellt 2 nutzbare Hostadressen bereit. CIDR kann außerdem sogenannte Supernetze darstellen, bei denen angrenzende Adressblöcke in einem größeren Routingpräfix zusammengefasst werden. Die beiden historischen Klasse-C-Netze 192.168.0.0 und 192.168.1.0 liegen beispielsweise direkt nebeneinander. Statt zwei separate Routingeinträge zu verwenden, können sie mit CIDR als 192.168.0.0/23 zusammengefasst werden.

Das erste Netzwerk 192.168.0.0 lässt sich binär folgendermaßen darstellen:

1100 0000 – 1010 1000 – 0000 0000 – 0000 0000

Das zweite Netzwerk 192.168.1.0 sieht binär so aus:

1100 0000 – 1010 1000 – 0000 0001 – 0000 0000

Die Maske für /23 lautet:

1111 1111 – 1111 1111 – 1111 1110 – 0000 0000

Da 23 Bit festgelegt sind, kann das 24. Bit entweder den Wert 0 oder 1 annehmen, während beide Netze weiterhin demselben Präfix entsprechen. Die entsprechende Subnetzmaske lautet 255.255.254.0. CIDR bietet damit deutlich mehr Flexibilität bei der Darstellung zusammenhängender IP-Adressbereiche als das frühere klassenbasierte Subnetting.

Weitere Beispiele:

CIDR-Referenztabelle: Präfixlängen, Subnetzmasken und Hostanzahl

Die folgende Tabelle enthält alle IPv4-Präfixlängen von /0 bis /32 einschließlich der jeweiligen Subnetzmaske, der Gesamtzahl an IP-Adressen und der Anzahl nutzbarer Hosts. Für Präfixe von /0 bis /30 gilt üblicherweise die Formel 2^(32 – Präfix) – 2 für die nutzbaren Hostadressen. Die in RFC 3021 definierte /31-Ausnahme erlaubt die Verwendung beider Adressen auf Punkt-zu-Punkt-Verbindungen. /32 kennzeichnet eine einzelne Hostroute.

Subnetze und Hostbereiche berechnen

Subnetzberechnungen folgen einem einheitlichen binären Verfahren: Zunächst wird das Präfix bestimmt. Anschließend wird die Subnetzmaske angewendet, um die Netzwerkadresse zu ermitteln. Danach werden alle Hostbits auf 1 gesetzt, um die Broadcast-Adresse zu bestimmen. Der nutzbare Adressbereich liegt zwischen diesen beiden Grenzen.

Schritt-für-Schritt-Beispiel: Ein /24-Netz subnetten

Betrachten Sie das Netzwerk 192.168.1.0/24:

• Präfixlänge: 24 Bit
• Subnetzmaske: 255.255.255.0
• Gesamtzahl der Adressen: 2^8 = 256
• Nutzbare Hosts: 254

Die Subnetzmaske in Binärdarstellung lautet:

1111 1111 – 1111 1111 – 1111 1111 – 0000 0000

Führen Sie nun eine bitweise UND-Verknüpfung zwischen einer Adresse aus diesem Netzwerk, beispielsweise 192.168.1.75, und der Subnetzmaske durch:

1100 0000 – 1010 1000 – 0000 0001 – 0100 1011 (192.168.1.75)

AND

1111 1111 – 1111 1111 – 1111 1111 – 0000 0000 (255.255.255.0)

=============================================================

1100 0000 – 1010 1000 – 0000 0001 – 0000 0000 (192.168.1.0)

• Netzwerkadresse: 192.168.1.0, alle Hostbits stehen auf 0.
• Broadcast-Adresse: 192.168.1.255, alle Hostbits stehen auf 1.
• Nutzbarer Bereich: 192.168.1.1 bis 192.168.1.254.

Schritt-für-Schritt-Beispiel: Ein /24 in /26-Netze aufteilen

Ein /26-Präfix verwendet 26 Bit für das Netzwerk und lässt 6 Bit für Hostadressen übrig. Jedes /26-Subnetz enthält daher 2^6 = 64 Adressen, von denen normalerweise 62 nutzbar sind. Wird 192.168.1.0/24 in /26-Blöcke aufgeteilt, entstehen vier Subnetze:

Die Grenzen der einzelnen Subnetze liegen in Abständen von jeweils 64 Adressen, da 2^6 gleich 64 ist. Die Netzwerkadressen enden deshalb auf .0, .64, .128 und .192.

Netzwerk- und Hostanteile mithilfe der Binärdarstellung bestimmen

Bei einem /26-Netz liegt die Grenze zwischen Netzwerk- und Hostbits nach Bit 26. Das letzte Oktett der Subnetzmaske 255.255.255.192 lautet binär 1100 0000. Die ersten beiden Bits dieses Oktetts gehören zum Netzwerkanteil, die verbleibenden sechs Bits zum Hostanteil.

Für die Adresse 192.168.1.130 innerhalb des dritten /26-Subnetzes ergibt sich:

1100 0000 – 1010 1000 – 0000 0001 – 1000 0010 (192.168.1.130)

AND

1111 1111 – 1111 1111 – 1111 1111 – 1100 0000 (255.255.255.192)

===============================================================

1100 0000 – 1010 1000 – 0000 0001 – 1000 0000 (192.168.1.128)

Die daraus ermittelte Netzwerkadresse lautet 192.168.1.128. Der Hostanteil im letzten Oktett ist 00 0010 und entspricht damit Host Nummer 2 innerhalb dieses Subnetzes.

Subnetzberechnungen mit ipcalc überprüfen

ipcalc ist ein Kommandozeilenwerkzeug zur Berechnung von Subnetzen und kann zusätzlich die binäre Aufteilung einer Adresse darstellen. Auf Ubuntu- und Debian-Systemen lässt sich das Programm folgendermaßen installieren:

sudo apt install ipcalc

Um das zuvor verwendete /24-Netz zu überprüfen, führen Sie folgenden Befehl aus:

ipcalc 192.168.1.0/24

Output:

Address: 192.168.1.0 11000000.10101000.00000001. 00000000

Netmask: 255.255.255.0 = 24 11111111.11111111.11111111. 00000000

Wildcard: 0.0.0.255 00000000.00000000.00000000. 11111111

=>

Network: 192.168.1.0/24 11000000.10101000.00000001. 00000000

HostMin: 192.168.1.1 11000000.10101000.00000001. 00000001

HostMax: 192.168.1.254 11000000.10101000.00000001. 11111110

Broadcast: 192.168.1.255 11000000.10101000.00000001. 11111111

Hosts/Net: 254 Class C, Private Internet

Die Abstände in den binären Spalten kennzeichnen die Grenze zwischen Netzwerk- und Hostanteil. HostMin zeigt die erste nutzbare Adresse, HostMax die letzte nutzbare Adresse und Broadcast bestätigt die obere Grenze des Subnetzes.

Um das /26-Subnetz zu überprüfen, verwenden Sie:

ipcalc 192.168.1.0/26

Output:

Address: 192.168.1.0 11000000.10101000.00000001.00 000000

Netmask: 255.255.255.192 = 26 11111111.11111111.11111111.11 000000

Wildcard: 0.0.0.63 00000000.00000000.00000000.00 111111

=>

Network: 192.168.1.0/26 11000000.10101000.00000001.00 000000

HostMin: 192.168.1.1 11000000.10101000.00000001.00 000001

HostMax: 192.168.1.62 11000000.10101000.00000001.00 111110

Broadcast: 192.168.1.63 11000000.10101000.00000001.00 111111

Hosts/Net: 62 Class C, Private Internet

Der Befehl ipcalc 192.168.1.0/24 --split 62 62 62 62 unterteilt das übergeordnete /24-Netz nacheinander in Subnetze, die groß genug für die angegebenen Hostanforderungen sind. Für jedes resultierende Subnetz wird eine vollständige Berechnung ausgegeben. Es entstehen folgende vier /26-Netze:

Dadurch eignet sich die Option --split besonders für die Planung von VLSM-Netzen, wenn für einzelne Segmente bereits konkrete Hostanforderungen bekannt sind.

CIDR-Zuweisung einer Netzwerkschnittstelle unter Linux anzeigen

Die für ein Subnetz berechnete Adresse und das zugehörige Präfix entsprechen genau den Informationen, die ein Linux-System für seine Netzwerkschnittstelle ausgibt. Mit ip addr show können Sie die CIDR-Zuweisung direkt anzeigen:

ip addr show eth0

Output:

2: eth0: <broadcast,multicast,up,lower_up> mtu 1500 qdisc fq_codel state UP group default qlen 1000

link/ether 9a:1c:3e:7b:0a:11 brd ff:ff:ff:ff:ff:ff

inet 10.10.1.5/24 brd 10.10.1.255 scope global eth0

valid_lft forever preferred_lft forever

Die Zeile inet 10.10.1.5/24 enthält die Hostadresse zusammen mit ihrem /24-Präfix. Der Wert brd 10.10.1.255 kennzeichnet die Broadcast-Adresse und entspricht den Grenzen, die auch manuell berechnet werden können. Um die aus diesen Präfixen erzeugten Kernel-Routen anzuzeigen, verwenden Sie:

ip route

Output:

default via 10.10.1.1 dev eth0 proto static

10.10.1.0/24 dev eth0 proto kernel scope link src 10.10.1.5

Der Eintrag 10.10.1.0/24 repräsentiert die lokale Subnetzroute, die der Kernel aus der CIDR-Konfiguration der Schnittstelle erzeugt. Die Zeile default via leitet Ziele außerhalb des lokalen Netzes an das konfigurierte Gateway weiter.

Private IP-Adressbereiche und RFC 1918

Private IPv4-Adressen gehören zu nicht öffentlich gerouteten Adressblöcken, die in RFC 1918 definiert sind. Router im öffentlichen Internet leiten solche privaten Bereiche nicht als reguläre öffentliche Ziele weiter. Systeme mit privaten Adressen benötigen deshalb NAT, wenn sie Verbindungen zu externen Netzwerken herstellen möchten.

10.0.0.0/8, 172.16.0.0/12 und 192.168.0.0/16

RFC 1918 definiert drei private IPv4-Adressbereiche:

Historisch wurden diese Bereiche grob den Klassen A, B und C zugeordnet. Unter CIDR werden sie dagegen üblicherweise anhand der in RFC 1918 definierten CIDR-Blöcke beschrieben. Die Klasseneinteilung ist hier lediglich noch als historischer Hintergrund relevant.

Wann private und öffentlich routbare Adressen verwendet werden

Private IP-Adressen eignen sich für interne Systeme wie Anwendungsserver, Datenbankserver, interne APIs und andere Endpunkte, die nicht direkt aus dem öffentlichen Internet erreichbar sein müssen. Öffentlich routbare Adressen werden dagegen üblicherweise für internetseitig erreichbare Komponenten wie Load Balancer, Gateways und Edge-Proxys eingesetzt.

Hosts mit privaten Adressen benötigen NAT, wenn sie Verbindungen in das öffentliche Internet aufbauen. Ein NAT-Gateway ersetzt beim Weiterleiten ausgehender Pakete die private Quelladresse durch eine öffentliche IP-Adresse und führt bei der Rückantwort die entsprechende Rückübersetzung durch.

Private Cloud-Netzwerke verwenden für interne Adressen häufig Bereiche aus RFC 1918. Wird beispielsweise ein privates Netzwerk mit 10.10.0.0/16 eingerichtet, können die darin betriebenen Ressourcen private IP-Adressen aus diesem Bereich erhalten.

Variable Length Subnet Masking (VLSM)

Variable Length Subnet Masking bezeichnet die Verwendung unterschiedlicher Präfixlängen für verschiedene Subnetze innerhalb eines gemeinsamen Adressraums. Da CIDR die festen Grenzen der historischen Adressklassen aufgehoben hat, lässt sich mit VLSM jedes Subnetz anhand seines tatsächlichen Bedarfs dimensionieren, anstatt allen Segmenten dieselbe Blockgröße zuzuweisen.

Was VLSM ist und warum es wichtig ist

VLSM erlaubt es, innerhalb eines gemeinsamen Adressraums unterschiedliche Präfixlängen zu verwenden. Ein Netzwerk mit einem Bedarf von 50 Hosts kann dadurch einen größeren Adressblock erhalten als eine Punkt-zu-Punkt-Verbindung, die nur zwei Hostadressen benötigt. Ohne variable Subnetzmasken müssten beide Segmente Blöcke gleicher Größe belegen.

VLSM steht in direktem Zusammenhang mit dem zuvor beschriebenen /23-Supernetz. Supernetting fasst benachbarte Adressblöcke zu einem größeren Präfix zusammen, um Routen zu aggregieren. VLSM geht in die entgegengesetzte Richtung und unterteilt einen größeren Block in kleinere Präfixe, die an den jeweiligen Bedarf angepasst sind. Beide Verfahren werden erst durch die Aufhebung der klassischen Adressgrenzen durch CIDR ermöglicht.

Praktisches VLSM-Beispiel

Das Netz 10.0.0.0/24 kann beispielsweise in vier unterschiedlich große Segmente aufgeteilt werden:

Die Zuweisung für das Engineering-Segment lässt sich mit folgendem Befehl überprüfen:

ipcalc 10.0.0.0/26

Output:

Address: 10.0.0.0 00001010.00000000.00000000.00 000000

Netmask: 255.255.255.192 = 26 11111111.11111111.11111111.11 000000

Wildcard: 0.0.0.63 00000000.00000000.00000000.00 111111

=>

Network: 10.0.0.0/26 00001010.00000000.00000000.00 000000

HostMin: 10.0.0.1 00001010.00000000.00000000.00 000001

HostMax: 10.0.0.62 00001010.00000000.00000000.00 111110

Broadcast: 10.0.0.63 00001010.00000000.00000000.00 111111

Hosts/Net: 62 Class A, Private Internet

Dieselbe Berechnung kann für jedes Subnetz aus der VLSM-Tabelle durchgeführt werden, um den nutzbaren Adressbereich und die Broadcast-Grenze vor der eigentlichen Konfiguration zu kontrollieren.

Nach der Vergabe dieser vier Netze bleiben die Adressen von 10.0.0.116 bis 10.0.0.255 ungenutzt und können für zukünftige Netzwerksegmente reserviert werden.

Wenn Sie eine Präfixlänge anhand einer benötigten Hostanzahl auswählen, können Sie sich an den zuvor beschriebenen Kapazitäten der einzelnen Subnetzmasken orientieren.

IPv6 und CIDR-Notation

IPv6 verwendet für seine 128 Bit langen Adressen dieselbe Slash-basierte Präfixnotation wie IPv4 mit CIDR. Die Konzepte Netzwerkpräfix, Hostanteil und Subnetzgrenze gelten daher grundsätzlich auch bei IPv6.

Aufbau von IPv6-Adressen

Eine IPv6-Adresse ist 128 Bit lang und besteht aus acht Gruppen mit jeweils vier hexadezimalen Zeichen, die durch Doppelpunkte voneinander getrennt sind. Das Hexadezimalsystem verwendet die Ziffern 0 bis 9 und die Buchstaben a bis f zur Darstellung der Werte 0 bis 15. Eine typische IPv6-Adresse sieht beispielsweise so aus:

1203:8fe0:fe80:b897:8990:8a7c:99bf:323d

IPv6 wurde als Nachfolger von IPv4 entwickelt, da der 32-Bit-Adressraum von IPv4 zunehmend an seine Grenzen stieß. Der 128-Bit-Adressraum von IPv6 umfasst ungefähr 3,4 × 10^38 Adressen und ist damit mehr als 7,9 × 10^28 Mal größer als der gesamte IPv4-Adressraum.

IPv6-Adressen können verkürzt geschrieben werden. Führende Nullen innerhalb einer Gruppe dürfen entfernt werden. Aus:

…:00bc:…

wird beispielsweise:

…:bc:…

Eine zusammenhängende Folge vollständig aus Nullen bestehender Gruppen kann außerdem einmal pro Adresse durch einen doppelten Doppelpunkt :: ersetzt werden. Aus:

…:18bc:0000:0000:0000:00ff:…

wird dadurch:

…:18bc::ff:…

Die Abkürzung :: darf innerhalb einer IPv6-Adresse nur einmal verwendet werden. Würde sie mehrfach vorkommen, ließe sich nicht mehr eindeutig bestimmen, wie viele Nullgruppen an den jeweiligen Stellen entfernt wurden.

Die Subnetzbeispiele in diesem Leitfaden verwenden überwiegend IPv4, weil der kleinere Adressraum binäre Berechnungen übersichtlicher macht. Die grundlegenden Prinzipien lassen sich jedoch auch auf IPv6 übertragen.

CIDR-Notation in IPv6-Netzwerken

IPv6 nutzt dieselbe Slash-Notation wie IPv4. Die Zahl nach dem Schrägstrich gibt an, wie viele der führenden 128 Bit als festes Netzwerkpräfix gelten.

Typische IPv6-CIDR-Beispiele sind:

• 2001:db8::/32 ist das in RFC 3849 definierte Dokumentationspräfix. Es wird in Beispielen und Dokumentationen verwendet und ist nicht für das öffentliche Routing vorgesehen.
• 2001:db8:1::/48 steht für eine typische standortbezogene Zuweisung. Ein Netzbetreiber könnte einem Standort ein /48 zuweisen. Dadurch bleiben 16 Bit übrig, mit denen der Betreiber bis zu 65.536 separate /64-Subnetze bilden kann.
• 2001:db8:1:1::/64 stellt ein typisches einzelnes IPv6-Subnetz dar.

Das übliche Präfix für ein einzelnes IPv6-Subnetz ist /64. Damit stehen 64 Bit für Hostadressen zur Verfügung, was 2^64 Adressen pro Subnetz ergibt. Stateless Address Autoconfiguration (SLAAC) und viele DHCPv6-Konfigurationen setzen ein /64-Präfix voraus.

Die Unterteilung eines IPv6-Adressblocks funktioniert nach demselben Grundprinzip wie bei IPv4: Bits aus dem Hostanteil werden zur Bildung zusätzlicher Subnetze verwendet. Der wesentliche Unterschied liegt in der Größenordnung. Erhält ein Standort beispielsweise 2001:db8:1::/48, bleiben die ersten 48 Bit fest. Bei Verwendung der üblichen Subnetzgröße /64 stehen die Bits 49 bis 64, also insgesamt 16 Bit, für die Nummerierung einzelner Subnetze zur Verfügung. Daraus ergeben sich 2^16 = 65.536 mögliche /64-Subnetze:

2001:db8:1:0000::/64 erstes Subnetz

2001:db8:1:0001::/64 zweites Subnetz

2001:db8:1:0002::/64 drittes Subnetz

…

2001:db8:1:ffff::/64 letztes Subnetz (65.536.)

Das vierte Hextett von 0000 bis ffff dient dabei als Subnetzkennung. Jedes daraus entstehende /64-Netz enthält weiterhin 2^64 Hostadressen. Anders als bei IPv4 werden IPv6-LANs deshalb normalerweise nicht unterhalb von /64 weiter unterteilt, nur um Hostadressen einzusparen. In den meisten Umgebungen bleibt es bei /64, da SLAAC und viele DHCPv6-Implementierungen diese Präfixlänge voraussetzen. Punkt-zu-Punkt-Verbindungen werden jedoch häufig mit Präfixen wie /127 adressiert.

Wichtige Unterschiede zwischen IPv4- und IPv6-Subnetting

IPv6 Unique Local Addresses, kurz ULA, werden in RFC 4193 innerhalb des Bereichs fc00::/7 definiert. Sie erfüllen eine ähnliche Aufgabe wie private IPv4-Adressen, da sie für interne Kommunikation innerhalb eines Standorts oder einer Organisation vorgesehen und nicht global geroutet sind.

Praktische Einsatzbereiche von Subnetting und CIDR

Subnetting und CIDR werden direkt bei der Konfiguration realer Infrastrukturen eingesetzt. Dazu gehören private Cloud-Netzwerke, Büro- und Unternehmensnetze sowie großflächiges Routing im Internet.

Subnetting in einem privaten Cloud-Netzwerk

Ein virtuelles privates Cloud-Netzwerk beziehungsweise VPC kann anhand eines privaten CIDR-Adressblocks definiert werden, der bei der Erstellung des Netzwerks festgelegt wird. Ein produktives VPC könnte beispielsweise den Bereich 10.10.0.0/16 verwenden.

Virtuelle Maschinen, Load Balancer, verwaltete Datenbanken und andere mit diesem privaten Netzwerk verbundene Ressourcen können private Adressen aus dem Bereich 10.10.0.0/16 erhalten.

Cloud-Plattformen unterscheiden sich darin, wie sie Subnetze technisch abbilden. In Umgebungen, in denen ein VPC hauptsächlich durch einen größeren CIDR-Block dargestellt wird und nicht durch separat bereitgestellte Subnetzobjekte, können einzelne Bereiche innerhalb des Blocks dennoch als logische Netzwerkebenen behandelt werden. Firewall-Richtlinien, Ressourcenkennzeichnungen, Tags und andere Zugriffskontrollen können anschließend verwendet werden, um diese logischen Grenzen durchzusetzen.

CIDR-Bereiche können anschließend zur Eingrenzung von Firewall-Regeln verwendet werden. Eine Regel für die Datenebene könnte beispielsweise PostgreSQL-Datenverkehr auf Port 5432 ausschließlich aus dem Webnetz 10.10.1.0/24 zulassen, während Datenverkehr aus anderen Bereichen blockiert bleibt.

Eine solche Regel erlaubt eingehende Verbindungen auf 5432 ausschließlich aus 10.10.1.0/24 und schließt andere Bereiche, beispielsweise das Monitoring-Netz, aus. Die genaue Syntax einer Firewall-Konfiguration hängt von der eingesetzten Netzwerkplattform und den verwendeten Kommandozeilenwerkzeugen ab.

Eine weitere wichtige Voraussetzung ist, dass miteinander verbundene Netzwerke keine überlappenden CIDR-Blöcke verwenden dürfen. Nutzt ein privates Netzwerk beispielsweise 10.10.0.0/16 und ein anderes verbundenes Netzwerk ebenfalls 10.10.0.0/16, wird das Routing mehrdeutig, weil identische Zieladressen in beiden Umgebungen existieren. Netzwerke, die über Peering, VPN oder andere Routingmechanismen miteinander kommunizieren sollen, sollten deshalb unterschiedliche und nicht überlappende RFC-1918-Blöcke verwenden, beispielsweise 10.10.0.0/16 für das eine und 10.20.0.0/16 für das andere Netzwerk.

Subnetting in Heim- oder Büronetzwerken

Viele Heimnetzwerke verwenden Adressbereiche wie 192.168.1.0/24 oder 192.168.0.0/24. Beide bieten jeweils 254 nutzbare IPv4-Hostadressen. Für einen typischen privaten Haushalt reicht diese Kapazität normalerweise aus.

Ein kleines Büro, das getrennte Netzwerksegmente für Mitarbeitergeräte, Gäste-WLAN und IoT-Geräte benötigt, kann ein einzelnes /24-Netz in mehrere /26-Netze unterteilen:

• Mitarbeiter: 192.168.1.0/26 mit 62 nutzbaren Hosts.
• Gäste-WLAN: 192.168.1.64/26 mit 62 nutzbaren Hosts.
• IoT-Geräte: 192.168.1.128/26 mit 62 nutzbaren Hosts.

Der verbleibende Block 192.168.1.192/26 kann für spätere Erweiterungen oder Management-Schnittstellen reserviert werden.

Wie Router CIDR für die Routenaggregation verwenden

Router nutzen CIDR, um für mehrere zusammenhängende Netzwerke ein einziges übergeordnetes Präfix anzukündigen, anstatt jedes kleinere Netzwerk einzeln zu veröffentlichen. Dadurch reduziert sich die Anzahl der benötigten Routingeinträge. Ohne Aggregation müsste ein Netzbetreiber mit 256 separaten /24-Netzen möglicherweise 256 verschiedene Routingeinträge verwalten. Bilden diese Netze jedoch einen zusammenhängenden Bereich, kann CIDR sie durch einen einzigen größeren Block darstellen.

Das zuvor beschriebene /23-Beispiel verdeutlicht dieses Prinzip. Das Präfix 192.168.0.0/23 umfasst sowohl 192.168.0.0 als auch 192.168.1.0 und kann beide Netze dadurch als einen einzigen Routingeintrag repräsentieren.

Dieser Vorgang wird als Route Summarization bezeichnet und trägt wesentlich zur Skalierbarkeit globaler Internetroutingtabellen bei. Das Border Gateway Protocol (BGP) verwendet CIDR und Longest-Prefix-Matching, um für ein bestimmtes Ziel die spezifischste verfügbare Route auszuwählen.

Häufig gestellte Fragen

Was ist der Unterschied zwischen einer Subnetzmaske und einem CIDR-Präfix?

Eine Subnetzmaske und ein CIDR-Präfix beschreiben dieselbe Netzwerkgrenze in unterschiedlichen Schreibweisen. Die Subnetzmaske 255.255.255.0 und das Präfix /24 geben beide an, dass die ersten 24 Bit einer IP-Adresse den Netzwerkanteil bilden. Das CIDR-Präfix entspricht der Anzahl aufeinanderfolgender 1-Bits in der binären Darstellung der Subnetzmaske. Um eine Maske in ein Präfix umzuwandeln, zählen Sie die führenden 1-Bits. Um aus einem Präfix eine Maske zu bilden, schreiben Sie entsprechend viele 1-Bits und füllen den 32-Bit-Wert anschließend mit 0-Bits auf.

Wie viele nutzbare Hosts hat ein /24-Subnetz?

Ein /24-Subnetz enthält insgesamt 256 IPv4-Adressen, weil acht Bits für Hostadressen zur Verfügung stehen. Nach den üblichen Subnettingregeln sind zwei Adressen reserviert: Die erste Adresse ist die Netzwerkadresse, die letzte Adresse die Broadcast-Adresse. Damit verbleiben 254 nutzbare Hostadressen, die im letzten Oktett normalerweise von .1 bis .254 reichen.

Was ist der Unterschied zwischen einer öffentlichen und einer privaten IP-Adresse?

Öffentliche IP-Adressen können global über das Internet geroutet werden. Private IPv4-Adressen sind gemäß RFC 1918 ausschließlich für private Netzwerke vorgesehen. Die drei privaten Bereiche sind 10.0.0.0/8, 172.16.0.0/12 und 192.168.0.0/16. Ein Host mit einer privaten Adresse kommuniziert üblicherweise über ein NAT-Gateway mit dem öffentlichen Internet. Dabei wird die private Quelladresse beim Weiterleiten ausgehender Pakete durch eine öffentliche IP-Adresse ersetzt.

Warum wurde CIDR eingeführt?

CIDR wurde 1993 mit RFC 1519 eingeführt und später durch RFC 4632 aktualisiert. Es sollte zwei wesentliche Probleme der klassenbasierten IP-Adressierung lösen. Zum einen wurden Klasse-B-Netze sehr schnell knapp, da sie für viele Organisationen deutlich größer als notwendig waren, aber gleichzeitig die einzige klassische Option zwischen relativ kleinen Klasse-C-Netzen und sehr großen Klasse-A-Netzen darstellten. Zum anderen wuchsen die Routingtabellen des Internets stark an, weil große Mengen einzelner Klasse-C-Netze separat angekündigt werden mussten. CIDR ermöglichte beliebige Präfixlängen und schuf damit gleichzeitig die Grundlage für die Aggregation von Routen.

Was ist VLSM und wie hängt es mit CIDR zusammen?

Variable Length Subnet Masking (VLSM) bezeichnet die Verwendung unterschiedlicher Subnetzpräfixe innerhalb desselben Adressraums. CIDR macht dieses Verfahren möglich, da feste Klassengrenzen nicht mehr berücksichtigt werden müssen. Netzwerkadministratoren können Adressraum dadurch entsprechend der tatsächlichen Anzahl benötigter Hosts vergeben, anstatt jedem Subnetz dieselbe Blockgröße zuzuweisen. VLSM ist kein eigenes Netzwerkprotokoll, sondern eine Methode zur Planung und Aufteilung von Adressräumen.

Wie verwendet IPv6 die CIDR-Notation?

IPv6 nutzt dieselbe Präfixnotation mit Schrägstrich wie IPv4. Die Angabe 2001:db8::/32 bedeutet beispielsweise, dass die ersten 32 Bit das Netzwerkpräfix bilden. Da eine IPv6-Adresse 128 Bit lang ist, verbleiben bei einem standardmäßigen /64-Subnetz weitere 64 Bit für Hostadressen. Dadurch stehen pro Subnetz 2^64 Adressen zur Verfügung. IPv6 definiert außerdem mit den Unique Local Addresses im Bereich fc00::/7 gemäß RFC 4193 einen eigenen Bereich für interne Adressierung.

Was ist der Unterschied zwischen einer Netzwerkadresse und einer Broadcast-Adresse?

Die Netzwerkadresse ist die erste IP-Adresse eines IPv4-Subnetzes und besitzt ausschließlich Hostbits mit dem Wert 0. Sie kennzeichnet das Subnetz selbst und kann normalerweise nicht einem Host zugewiesen werden. Die Broadcast-Adresse ist die letzte Adresse des Subnetzes und besitzt ausschließlich Hostbits mit dem Wert 1. Pakete an diese Adresse werden an alle Hosts innerhalb des Subnetzes übertragen, weshalb auch die Broadcast-Adresse keinem einzelnen Host zugewiesen werden kann. Diese Regel bezieht sich immer auf die erste und letzte Adresse des jeweiligen Subnetzes und nicht allgemein auf jede Adresse, deren letztes Oktett 0 oder 255 lautet.

Wie berechne ich, zu welchem Subnetz eine IP-Adresse gehört?

Führen Sie eine bitweise UND-Verknüpfung zwischen der IP-Adresse und der zugehörigen Subnetzmaske durch. Das Ergebnis ist die Netzwerkadresse des Subnetzes, zu dem die IP-Adresse gehört. Wird beispielsweise die Maske 255.255.255.0 auf 192.168.10.75 angewendet, lautet das Ergebnis 192.168.10.0. Die Adresse gehört somit zum Subnetz 192.168.10.0/24. Bei einer feineren Maske wie 255.255.255.192, also /26, bestimmt dieselbe UND-Verknüpfung, zu welchem der vier /26-Subnetze innerhalb des übergeordneten /24-Netzes die Adresse gehört.

Fazit

Dieser Leitfaden hat die IP-Adressierung von ihrem grundlegenden Aufbau bis hin zu Subnetting und CIDR erläutert. IPv4-Adressen bestehen aus 32 Bit und werden in Punkt-Dezimal-Schreibweise dargestellt. Historisch wurden sie in fünf Adressklassen unterteilt, während Subnetzmasken mithilfe binärer Operationen wie der bitweisen UND-Verknüpfung die Grenze zwischen Netzwerk- und Hostanteil festlegen. CIDR, standardisiert in RFC 4632, ersetzte starre Klassengrenzen durch frei wählbare Präfixlängen und ermöglichte dadurch eine effizientere Adressverteilung sowie Routenaggregation. VLSM erweitert diese Flexibilität, indem innerhalb eines gemeinsamen Adressraums unterschiedlich große Subnetze gebildet werden können. IPv6 überträgt dasselbe Präfixkonzept auf 128-Bit-Adressen und verwendet für einzelne Subnetze üblicherweise ein /64-Präfix.

Mit diesen Grundlagen können Subnetzaufteilungen für Netzwerke unterschiedlicher Größe geplant, Host- und Broadcast-Bereiche anhand binärer Berechnungen bestimmt und CIDR-Präfixe in Routing- und Firewall-Konfigurationen interpretiert werden. Gleichzeitig wird verständlich, warum private Adressbereiche nach RFC 1918 existieren und in welchen Situationen NAT erforderlich ist.

Für interaktive Subnetzberechnungen kann CIDR.xyz verwendet werden. Das Werkzeug übersetzt zwischen dezimalen IP-Adressen und binären Oktetten und visualisiert unterschiedliche CIDR-Netzmasken. Grundlegende Kenntnisse zu Netzwerkbegriffen, Schnittstellen und Protokollen ergänzen diese Themen. Für konkrete Konfigurationen sollten zusätzlich die Dokumentationen der jeweils eingesetzten Netzwerkplattform herangezogen werden, beispielsweise zu CIDR-Blockauswahl, privaten Netzwerken und Firewall-Regeln.