IP-Subnetz-Rechner

Eine kurze Geschichte von CIDR und der IPv4-Subnetzbildung

Als RFC 791 im September 1981 das Internet Protocol standardisierte, waren IPv4-Adressen in starre Klassen eingeteilt. Klasse-A-Zuteilungen ergaben 16.777.214 Hosts, Klasse B ergab 65.534, Klasse C ergab 254, und dazwischen lag nichts. Jede Organisation, die mehr als 254 Hosts benötigte, beantragte ein Klasse B, selbst wenn sie nur 1.000 Mitarbeiter hatte, und Zehntausende Adressen wurden pro Zuteilung verschwendet. Ende der 1980er-Jahre verschwanden Klasse-B-Blöcke schnell, die globale Routing-Tabelle überstieg den Speicher der Backbone-Router, und der 32-Bit-IPv4-Raum wurde schneller verbraucht, als seine Entwerfer jemals erwartet hatten. RFC 1518 und RFC 1519 (September 1993) führten das Classless Inter-Domain Routing ein, ausgesprochen «Cider», das die Netz-Host-Grenze an jeder Bitposition liegen lässt und sechzehn aufeinanderfolgende /24 als ein einziges /20 ankündigen lässt. Die Zuteilung entsprach endlich dem Bedarf, die BGP-Tabelle hörte auf, unter ihrem eigenen Gewicht zu kollabieren, und die IPv4-Erschöpfung wurde um etwa siebzehneinhalb Jahre in die Zukunft verschoben. RFC 4632 hat RFC 1519 im August 2006 neu herausgegeben und veraltet und bleibt die heutige Autorität. Drei private Bereiche wurden durch RFC 1918 im Februar 1996 ausgeschnitten (10.0.0.0/8, 172.16.0.0/12, 192.168.0.0/16), wodurch jeder NAT-fähige Heimrouter und Unternehmens-Firewall einen nutzbaren Adresspool erhielt, den das öffentliche Internet niemals routen würde. RFC 3021 (Dezember 2000) schuf die /31-Ausnahme für Punkt-zu-Punkt-Verbindungen und sparte rund zwei IPv4-Adressen pro Router-zu-Router-Verbindung. Der oberste freie Pool der IANA wurde schließlich am 31. Januar 2011 erschöpft; APNIC folgte im April 2011, LACNIC im Jahr 2014, ARIN im Jahr 2015, AfriNIC im Jahr 2017 und RIPE NCC im November 2019. CIDR ist der Grund, warum eines dieser Daten in diesem Jahrzehnt liegt und nicht in den 1990er-Jahren.

Die Anatomie einer Subnetzberechnung

• Die 32-Bit-IPv4-Adresse. Jede IPv4-Adresse besteht aus 32 Bit, üblicherweise als vier 8-Bit-Oktette in dezimaler Punktnotation geschrieben: 192.168.1.0 ist binär 11000000.10101000.00000001.00000000. Der gesamte IPv4-Raum ist 2³², etwa 4,3 Milliarden Adressen, was 1981 unendlich klang und 2011 (IANA), 2015 (ARIN) und 2019 (RIPE NCC) ausgeschöpft war. Alle Subnetzberechnungen operieren bitweise auf diesem 32-Bit-Wert.
• Die CIDR-Präfixlänge. Die Zahl hinter dem Schrägstrich in 192.168.1.0/24 zählt die aufeinanderfolgenden führenden 1-Bits in der Subnetzmaske, gleichbedeutend mit der Anzahl der Bits, die das Netzwerk identifizieren. Was übrig bleibt, identifiziert den Host innerhalb dieses Netzwerks. Ein /24 reserviert 24 Bit für das Netzwerk und 8 Bit für Hosts; ein /30 reserviert 30 und 2; ein /16 reserviert 16 und 16. Das Präfix kann an jeder Bitposition liegen, von /0 (das gesamte Internet) bis /32 (ein einzelner Host).
• Die Subnetzmaske. Der punktdezimale Zwilling des CIDR-Präfixes. /24 ist 255.255.255.0, also 24 binäre 1en gefolgt von 8 binären 0en. /27 ist 255.255.255.224 (das letzte Oktett ist 11100000). Router und Betriebssysteme akzeptieren beide Notationen austauschbar. Das Komplement der Maske, die Wildcard-Maske, ist das, was Cisco-Zugriffslisten verwenden: eine /24-ACL-Übereinstimmung wird als 0.0.0.255 geschrieben, nicht 255.255.255.0.
• Die Netzwerkadresse. Berechnet als IP AND Subnetzmaske bitweise: das AND nullt jedes Host-Bit und lässt den Netzwerkteil unverändert. Für 192.168.1.27/24 ist die Maske 255.255.255.0 und die Netzwerkadresse 192.168.1.0. Die Netzwerkadresse identifiziert das Subnetz selbst und kann nicht einem Host zugewiesen werden, mit der einzigen Ausnahme von /31 (RFC 3021).
• Die Broadcast-Adresse. Berechnet als Netzwerkadresse OR (NOT Subnetzmaske) bitweise: jedes Host-Bit auf 1 setzen. Für 192.168.1.0/24 ist die Broadcast 192.168.1.255; für 192.168.1.0/27 ist sie 192.168.1.31. Verkehr an die Broadcast-Adresse wird gleichzeitig an jeden Host im Subnetz zugestellt, daher ist die Adresse reserviert und nicht zuweisbar. /31 ist wieder die Ausnahme, weil eine Punkt-zu-Punkt-Verbindung nur zwei Endpunkte hat und keinen Broadcast benötigt.
• Gesamtadressen und nutzbare Hosts. Gesamtadressen im Subnetz = 2^{(32 − Präfix)}. Ein /24 enthält 256, ein /27 enthält 32, ein /30 enthält 4. Nutzbare Hosts = gesamt − 2, abzüglich Netzwerk- und Broadcast-Adresse, also liefert ein /24 254 zuweisbare Hosts und ein /27 30. Zwei Ausnahmen: /31 nach RFC 3021 liefert 2 nutzbare Hosts (beide Adressen auf einer Punkt-zu-Punkt-Verbindung zuweisbar), und /32 repräsentiert eine Einzelhost-Route. AWS-Subnetze sind in der Praxis eine dritte Ausnahme, weil AWS 5 Adressen pro Subnetz reserviert, nicht 2, so dass ein AWS-/24 251 nutzbare Hosts liefert.

Gängige Subnetzgrößen und wo sie auftauchen

• Heim- und Kleinbüro-LANs (/24). Fast jeder Endverbraucher-Router auf dem Markt (Linksys, Netgear, Asus, TP-Link, eero, Google Nest Wifi) wird mit einem /24-Standard innerhalb des RFC-1918-Bereichs 192.168.0.0/16 ausgeliefert, üblicherweise 192.168.0.0/24 oder 192.168.1.0/24. 254 nutzbare Hosts pro LAN, der Router selbst nimmt meist .1, die Netzwerkadresse endet auf .0 und der Broadcast endet auf .255. Die Standardwerte überlappen mit allem, weshalb VPN-Nutzer routinemäßig auf etwas weniger Übliches wie 192.168.42.0/24 oder 10.42.0.0/24 umnummerieren.
• Mittlere bis große Unternehmensnetze (10.0.0.0/8-Hierarchien). Große Unternehmen und cloud-native Firmen schneiden alles aus 10.0.0.0/8 heraus, dem größten RFC-1918-Block mit 16,7 Millionen Adressen. Standort-/16, Regions-/20, Abteilungs-/22, VLAN-/24; die Hierarchie spiegelt das Organigramm wider und aggregiert sauber zum Kern hin. Mittelgroße Unternehmen wählen oft 172.16.0.0/12, weil es der am wenigsten genutzte RFC-1918-Bereich ist und weniger wahrscheinlich mit den zufälligen Consumer-Routern überlappt, die ihre Mitarbeiter zu Hause verwenden.
• Cloud-Subnetze (AWS VPC, Azure VNet, GCP VPC). Die AWS-VPC-Konvention ist ein /16-Supernetz aus einem der RFC-1918-Bereiche, unterteilt in /20- oder /24-Subnetze pro Availability Zone, getrennt in öffentliche, private und Datenbank-Schichten. AWS reserviert 5 Adressen pro Subnetz, nicht 2 (die Netzwerkadresse, die Broadcast plus VPC-Router, DNS und eine Reserve), so dass ein AWS-/24 251 nutzbare Adressen statt 254 hat. Kritische Regel: VPCs, die per Peering oder Transit Gateway gekoppelt werden sollen, dürfen keine überlappenden CIDR-Bereiche haben, daher braucht ein Multi-Konto- oder Multi-Region-Setup ab Tag eins einen Master-Allokationsplan.
• Punkt-zu-Punkt-Verbindungen (/30 und /31). Router-zu-Router-Verbindungen, GRE-Tunnel, IPsec-Tunnel und serielle Verbindungen tragen genau zwei Endpunkte. Das klassische /30 ergibt 4 Adressen mit 2 nutzbaren Hosts und 2 verschwendeten (Netzwerk und Broadcast). Moderne Geräte unterstützen /31 gemäß RFC 3021, was 2 Adressen ergibt, beide nutzbar, und den IPv4-Verbrauch halbiert. Ein Backbone mit 500 Punkt-zu-Punkt-Verbindungen spart rund 1.000 IPv4-Adressen durch den Wechsel von /30 auf /31; in einem öffentlichen Internet-Backbone, wo jede IPv4-Adresse einen Dollarwert hat, ist das echtes Geld.
• DMZs, Server-VLANs und kleine Segmente (/27 bis /29). Ein DMZ-Segment für eine Handvoll internet-exponierter Server, ein Management-VLAN für Switch-Loopbacks, eine kleine Server-Farm, ein winziges IoT-Segment, ein Out-of-Band-Verwaltungsnetz: diese laufen typischerweise auf /27 (30 Hosts), /28 (14 Hosts) oder /29 (6 Hosts). Passgenau dimensionierte Segmente begrenzen das Broadcast-Domain-Rauschen und reduzieren den Wirkungsradius, wenn etwas fehlkonfiguriert oder kompromittiert wird. Fast jede Zertifizierungs-Szenariofrage liegt irgendwo in diesem Präfixbereich, weil die Bit-Mathematik ohne Papier nicht trivial ist.
• Zertifizierungsvorbereitung (CompTIA Network+, Cisco CCNA / CCNP, JNCIA). Subnetzberechnung ist Standard in jeder Einsteiger-Netzwerkprüfung, und der Zeitdruck ist brutal: Kandidaten haben routinemäßig unter 30 Sekunden pro Adresse-und-Präfix-Frage. Die klassischen Lerntricks sind die Magic-Number-Methode (256 minus das relevante Maskenoktett ergibt den Subnetz-Schritt) und die binäre Seven-Second-Subnetting-Übung, die Professor Messer populär gemacht hat. Ein Rechner wie dieser ist bei echter Netzwerkengineering-Arbeit schneller als jede der beiden Methoden; beide Methoden existieren für den Prüfungsraum, in dem Taschenrechner nicht erlaubt sind.

Wichtige RFCs und historische Meilensteine

• RFC 791 (September 1981). Jon Postels ursprüngliche Internet-Protocol-Spezifikation. Definierte IPv4, die 32-Bit-Adresse, die punktdezimale Notation und das ursprüngliche klassenbasierte Zuteilungsschema (Klassen A, B, C, D, E). Der klassenbasierte Entwurf hielt zwölf Jahre, bis die Größenordnung seine Ablösung erzwang, und ist bis heute der historische Grund, warum sich /8-, /16- und /24-Präfixe immer noch «natürlich» anfühlen.
• RFC 1518 und RFC 1519 (September 1993). Das RFC-Paar, das das Classless Inter-Domain Routing (CIDR) einführte. RFC 1518 (Rekhter und Li) legte die Architektur fest; RFC 1519 (Fuller, Li, Yu, Varadhan) definierte die Adresszuweisungs- und Aggregationsstrategie. Zusammen ersetzten sie das starre Klassen-A/B/C-System durch die Notation mit variabler Präfixlänge, die heute jeder Router auf der Erde spricht. RFC 1519 wurde 2006 von RFC 4632 obsolet gemacht.
• RFC 1918 (Februar 1996), BCP 5. Yakov Rekhter, Robert Moskowitz, Daniel Karrenberg, Geert Jan de Groot und Eliot Lear verfassten das Dokument, das die drei privaten IPv4-Bereiche (10.0.0.0/8, 172.16.0.0/12, 192.168.0.0/16) ausschnitt und sie als im öffentlichen Internet nicht routebar erklärte. Jedes NAT-Heimnetz, Firmen-LAN und Cloud-VPC seit 1996 hat seine Adressen aus einem dieser drei Blöcke gewählt.
• RFC 3021 (Dezember 2000). Retana, White, Fuller und McPherson schufen die /31-Ausnahme. Auf einer Punkt-zu-Punkt-Verbindung mit genau zwei Endpunkten wird keine Broadcast-Adresse benötigt, also können die beiden Adressen eines /31 als Host-Adressen zugewiesen werden. Die Änderung sparte in den folgenden zwei Jahrzehnten Zehntausende IPv4-Adressen in den globalen ISP-Backbones.
• RFC 4632 (August 2006), BCP 122. Vince Fuller und Tony Li gaben die CIDR-Spezifikation neu heraus und veralteten RFC 1519 dreizehn Jahre nach dem Original. RFC 4632 ist die aktuelle Autorität für IPv4-Adressvergabe und -Aggregation und bleibt das Dokument, das ein Netzwerkingenieur zitiert, wenn er gefragt wird «wo lebt CIDR in den Standards?»
• RFC 6598 (April 2012). Reservierte 100.64.0.0/10 für Carrier-Grade NAT, die zweite NAT-Schicht, die ISPs zwischen die Abonnenten-Router und das öffentliche Internet stellen, sobald ihre eigenen IPv4-Zuteilungen erschöpft sind. Bekanntermaßen mit dem privaten RFC-1918-Raum verwechselt, aber distinkt: Ein Endnutzer-Netzwerk darf nicht aus diesem Block wählen, weil der ISP ihn bereits auf der anderen Seite des Heimrouters verwendet.
• RFC 6890 (April 2013), BCP 153, aktualisiert durch RFC 8190 (Juni 2017). Konsolidierte jede IPv4- (und IPv6-)Sonderzweck-Reservierung in einer einzigen IANA-Special-Purpose-Address-Registry. Loopback (127.0.0.0/8), Link-Local (169.254.0.0/16), Dokumentationsbereiche (192.0.2.0/24, 198.51.100.0/24, 203.0.113.0/24), das Multicast-/4 und das CGN-/10 sind alle unter einer einzigen kanonischen Registry aufgeführt, statt über ein halbes Dutzend älterer RFCs verstreut.
• IPv4-Erschöpfung (31. Januar 2011 und danach). Der oberste freie Pool der IANA wurde am 31. Januar 2011 geleert, siebzehneinhalb Jahre nach der CIDR-Veröffentlichung. APNIC folgte am 15. April 2011, LACNIC am 10. Juni 2014, ARIN am 24. September 2015, AfriNIC am 21. April 2017 und RIPE NCC am 25. November 2019. Der Übergang zu IPv6 läuft seit zwei Jahrzehnten und bleibt unvollständig; CIDR plus NAT plus RFC 1918 ist der Grund, warum IPv4 noch steht.

Weitere häufig gestellte Fragen

Was ist der Unterschied zwischen einer Subnetzmaske und einem CIDR-Präfix?

Sie drücken dieselbe Information in zwei Notationen aus. /24 in CIDR ist 255.255.255.0 als punktdezimale Subnetzmaske: 24 Einsen gefolgt von 8 Nullen im Binärsystem. CIDR ist die moderne kompakte Notation, die Subnetzmaske ist die ältere Form, die die meisten Netzwerk-Betriebssysteme noch anzeigen. Router und Rechner akzeptieren beides. Ein nützlicher Umrechnungstrick: Jedes Maskenoktett ist entweder 0, 128, 192, 224, 240, 248, 252, 254 oder 255 (die einzigen Binärmuster zusammenhängender führender Einsen), so dass 255.255.240.0 sofort als 8+8+4+0 = 20 Maskenbits, also /20, gelesen werden kann.

Warum kann ich die Netzwerk- oder Broadcast-Adresse nicht verwenden?

Die Netzwerkadresse (alle Host-Bits auf null) ist als Identifikator für das Subnetz selbst reserviert. Die Broadcast-Adresse (alle Host-Bits auf eins) ist reserviert für «an jeden Host im Subnetz senden». Router und Betriebssysteme behandeln Verkehr zu diesen beiden Adressen speziell, deshalb können sie nicht einem einzelnen Host zugewiesen werden. Die einzige standardisierte Ausnahme ist /31: gemäß RFC 3021 sind beide Adressen auf einem /31 nutzbar, weil sie für Punkt-zu-Punkt-Verbindungen ohne Broadcast vorgesehen sind. AWS geht weiter und reserviert 5 Adressen pro Subnetz, daher beträgt die Anzahl nutzbarer Hosts in Cloud-Subnetzen gesamt minus 5, nicht gesamt minus 2.

Was ist mit IPv6?

IPv6 verwendet dieselbe Präfix-Notation-Idee (/64, /48 usw.), aber mit 128-Bit-Adressen. Die Standard-Endbenutzer-Subnetzgröße ist /64, das 2⁶⁴ = rund 18,4 Trillionen Adressen enthält, genug, dass praktische IPv6-Netze sich auf Host-Zahl-Ebene selten um Subnetzbildung sorgen. RFC 7421 (2015) analysiert, warum /64 die Grenze ist. IPv6 hat überhaupt keine Broadcast-Adresse (Multicast ersetzt sie), also greift die «minus 2»-Regel nicht. Dieser Rechner ist nur IPv4; die Mathematik funktioniert für IPv6 genauso, aber die Zahlen sind um zwanzigsoetwas Größenordnungen größer.

Wird etwas an einen Server gesendet?

Nein. Der Rechner läuft vollständig in Ihrem Browser. Adresseingaben werden in JavaScript bitweise gegen Masken berechnet und die Ergebnisse lokal gerendert. Nichts über Ihr Netzwerkdesign, Ihre IP-Bereiche oder geplanten Subnetze wird übertragen, protokolliert oder gespeichert. Die Adressen, die Leute in Subnetzrechner eingeben, sind sehr oft interne Unternehmensbereiche, VPN-Designs oder Cloud-Topologie-Baupläne, und die Datenschutzgarantie hier ist, dass keine dieser Informationen Ihren Rechner verlässt.

Was ist das kleinste praktische Subnetz?

/30 für eine typische Punkt-zu-Punkt-Verbindung (4 Adressen, 2 nutzbare Hosts) oder /31 für denselben Fall mit beiden Adressen nutzbar gemäß RFC 3021. /32 ist eine Einzelhost-Route, die für Dinge wie Loopback-Aliase, BGP-Peer-Adressen, Host-Firewall-Regeln oder Null-Routen verwendet wird, nicht für normale LAN-Segmente. In einem normalen Ethernet-LAN, in dem ARP, DHCP und Broadcast funktionieren müssen, ist /29 (6 nutzbare Hosts) die praktische Untergrenze; alles Kleinere lässt dem Segment keinen Wachstumsraum.

Wie wähle ich einen privaten Bereich für mein Heim- oder Büronetzwerk?

Listen Sie zuerst jedes Netzwerk auf, das Sie erreichen müssen: Unternehmens-VPN-Bereiche, AWS-VPCs, mit denen Sie peeren könnten, Geschäftspartner-VPNs, Heimnetze von Freunden, falls Sie je remote verbinden. Wählen Sie einen privaten Bereich, der sich mit keinem davon überlappt. 192.168.0.0/24 und 192.168.1.0/24 sind die Standardwerte jedes Heimrouters und überlappen ständig; 10.42.0.0/24 oder 172.20.10.0/24 kollidieren weit seltener mit etwas, in das Sie per VPN müssen. Wenn Sie irgendwann planen, zwei Netze per VPN oder Transit zusammenzulegen, entscheiden Sie die übergeordnete Supernet-Zuweisung von vornherein und schneiden Sie von Anfang an disjunkte /24 heraus, denn das spätere Umnummerieren eines aktiven Netzwerks ist auch unter besten Bedingungen ein mehrtägiges Abendprojekt.