Kostenloses Werkzeug · Subnetz-Rechner
Maske, Bereich und Adressen – auf einen Blick.
Die 32 Bit stehen sichtbar da, und die Maske schneidet sie vor Ihren Augen. Und weil die Frage im Betrieb andersherum gestellt wird, geht es auch andersherum: Sagen Sie, wie viele Geräte hineinsollen.
Dafür reicht ein /26 (255.255.255.192) mit 62 nutzbaren Adressen. · Rechnen Sie Drucker, Zugangspunkte, Telefone und Kameras mit – die sind in der ersten Schätzung fast immer vergessen, und ein Netz nachträglich zu vergrößern heißt, jedes Gerät anzufassen.
Netzadresse
192.168.1.0/24
Ein privater Bereich – diese Adressen sind aus dem Internet nicht erreichbar und dürfen in jedem Haus vorkommen. Achten Sie bei VPN-Verbindungen darauf, dass die Gegenseite nicht dasselbe Netz benutzt: 192.168.1.0/24 auf beiden Seiten ist der häufigste Grund, warum ein eingerichtetes VPN steht und trotzdem nichts durchkommt.
14Jahre
unternehmerisch im IT-Betrieb, GmbH seit 2020
InternationaleExpertise
Betreuung in Deutschland, Europa und dem Nahen Osten
99,9 %Verfügbarkeit
der Cloud-Services, je Kalendermonat
15 Min.Reaktionszeit
im Notfall, rund um die Uhr
ISO 27001zertifiziert
Partner-Rechenzentren in Deutschland
Warum das zählt
Die Maske ist keine Formsache. Sie ist eine Sicherheitsentscheidung.
In den meisten Betrieben, die wir übernehmen, liegt alles in einem Netz: Bürorechner, Drucker, Kameras, Kassen, das Gast-WLAN und die Steuerung der Produktionsanlage. Das ist nicht aus Nachlässigkeit so, sondern weil es einmal funktioniert hat und dann gewachsen ist.
Der Preis zeigt sich erst im Schadensfall. Ein befallener Rechner erreicht in einem flachen Netz jedes andere Gerät unmittelbar – die Kamera, die seit sechs Jahren keine Aktualisierung gesehen hat, ebenso wie die Steuerung, die man nicht anfassen darf. Sind die Bereiche getrennt, entscheidet die Firewall, was von wo nach wo darf, und aus einem Vorfall wird ein Vorfall in einem Segment.
Deshalb ist die Frage nach der Maske nie nur eine Rechenaufgabe. Sie ist die Frage, wie groß der Radius ist, wenn etwas passiert – und die beantwortet man am besten, bevor etwas passiert.
Begriffe
Sechs Wörter, die ständig verwechselt werden
- Subnetzmaske
- Sagt, welcher Teil einer Adresse das Netz bezeichnet und welcher das einzelne Gerät. 255.255.255.0 heißt: die ersten drei Zahlen sind das Netz, die letzte das Gerät. Sie wird nicht übertragen – jedes Gerät braucht sie, um zu entscheiden, ob ein Ziel im eigenen Netz liegt oder über den Router muss.
- Präfix (CIDR-Schreibweise)
- Dieselbe Angabe, kürzer geschrieben: /24 steht für 24 Netzbits, also 255.255.255.0. Die Schreibweise stammt aus der klassenlosen Adressierung (Classless Inter-Domain Routing) und hat die Klassen A, B und C 1993 abgelöst. Beides ist dieselbe Information, nur zwei Notationen.
- Netzadresse
- Die erste Adresse eines Netzes – sie bezeichnet das Netz selbst und wird keinem Gerät zugeteilt. Sie entsteht, indem alle Gerätebits auf Null gesetzt werden: Aus 192.168.1.77/24 wird 192.168.1.0/24.
- Rundrufadresse (Broadcast)
- Die letzte Adresse eines Netzes. Was dorthin gesendet wird, erreicht alle Geräte im Netz gleichzeitig. Sie wird deshalb ebenfalls keinem Gerät zugeteilt – aus 256 Adressen eines /24 werden so 254 nutzbare.
- Platzhaltermaske (Wildcard)
- Die umgekehrte Subnetzmaske, also 0.0.0.255 statt 255.255.255.0. Sie wird in Zugriffslisten mancher Hersteller verlangt – dort, wo nicht „das ist das Netz“, sondern „das darf sich unterscheiden“ ausgedrückt wird.
- Privater Adressbereich
- Drei Bereiche, die RFC 1918 ausdrücklich für den Gebrauch in eigenen Netzen freigibt: 10.0.0.0/8, 172.16.0.0/12 und 192.168.0.0/16. Sie werden im Internet nicht weitergeleitet und dürfen deshalb in jedem Haus gleichzeitig vorkommen.
Häufige Fragen
Wie viele Geräte passen in ein /24?
254. Das Netz hat 256 Adressen, davon fallen die Netzadresse und die Rundrufadresse weg. Bei einem /25 sind es 126, bei einem /26 noch 62 – jedes Bit, das zum Netz wandert, halbiert die Zahl der Geräte.
Warum brauche ich überhaupt mehrere Netze?
Aus zwei Gründen, und der zweite ist der wichtigere. Erstens Last: In einem flachen Netz erreicht jeder Rundruf jedes Gerät, und bei einigen hundert Geräten wird das messbar. Zweitens Trennung – und das ist der Punkt. Kameras, Kassen, Maschinensteuerungen, das Gast-WLAN und die Bürorechner haben nichts miteinander zu besprechen. Liegen sie im selben Netz, kann ein befallenes Gerät jedes andere erreichen; liegen sie getrennt, entscheidet die Firewall darüber. Ein zweiter Netzname am selben Gerät ist dabei keine Trennung.
Dürfen zwei Standorte dasselbe Netz benutzen?
Technisch ja, praktisch ist es der häufigste Grund, warum ein eingerichtetes VPN steht und trotzdem nichts durchkommt. Wenn beide Seiten 192.168.1.0/24 verwenden, hält jedes Gerät die Gegenseite für das eigene Netz und schickt nichts über den Tunnel. Planen Sie deshalb je Standort einen eigenen Bereich – etwa 10.10.0.0/16 für das Haupthaus und 10.20.0.0/16 für die Filiale.
Was bedeuten die Klassen A, B und C noch?
Für die Praxis nichts mehr. Die Einteilung stammt aus der Zeit vor 1993, als sich die Netzgröße aus der ersten Zahl der Adresse ergab. Seit der Einführung der klassenlosen Adressierung bestimmt allein das Präfix die Größe. Die Begriffe halten sich trotzdem – der Rechner nennt die Klasse deshalb, aber als historische Angabe.
Welchen Bereich soll ich für ein neues Netz wählen?
Nicht 192.168.0.0/24 und nicht 192.168.1.0/24. Das sind die Werkseinstellungen fast aller Router und damit die beiden Netze, die bei jeder VPN-Verbindung und bei jedem Heimarbeitsplatz kollidieren. Aus 10.0.0.0/8 lässt sich beides vermeiden und gleichzeitig ordnen: etwa 10.<Standort>.<Zweck>.0/24, damit man an der Adresse ablesen kann, wo ein Gerät steht und was es ist.
Weiterlesen: Wann brauche ich einen Netzwerk-Switch? · Geräte im Netzwerk anzeigen · Wie lautet meine IP-Adresse? · Alle Werkzeuge im Überblick