Subnetz-Rechner für IPv4 und VLAN-Planung

Was das Präfix bedeutet

Eine IPv4-Adresse ist eine 32-Bit-Zahl, geschrieben als vier Zahlen von 0 bis 255. Das Präfix – die Zahl nach dem Schrägstrich – gibt an, wie viele dieser 32 Bit das Netz bezeichnen. Der Rest bezeichnet den Host darin.

Bei /24 stehen 24 Bit für das Netz und 8 für den Host. Acht Bit ergeben 256 Kombinationen, davon sind zwei vergeben: die erste als Netzadresse, die letzte als Broadcast. Bleiben 254 Geräte. Bei/26 sind es 6 Hostbits, also 64 Adressen und 62 Geräte.

Die Regel dahinter ist immer dieselbe:

Adressen = 2 hoch (32 − Präfix)
Nutzbar  = Adressen − 2

Je größer das Präfix, desto kleiner das Netz. Das ist die Stelle, an der es beim Lesen am häufigsten kippt: /28 ist ein kleineres Netz als /24, obwohl die Zahl größer ist.

Netzadresse und Broadcast von Hand

Für die gängigen Präfixe reicht ein Blick auf das letzte Oktett. Bei/26 ist der Block 64 Adressen groß, die Netze beginnen also bei 0, 64, 128 und 192. Eine Adresse wie 192.168.30.100 liegt damit im Block 192.168.30.64, dessen Broadcast bei192.168.30.127 liegt.

Die Blockgrößen der häufigen Präfixe:

Wer die Maske sucht statt des Präfixes: 256 minus Blockgröße ergibt das letzte Oktett. Bei /27 also 256 − 32 = 224.

Die beiden Sonderfälle, die viele Rechner falsch machen

Ein 31er-Präfix hat keinen Broadcast. Nach RFC 3021 sind dort beide Adressen nutzbar. Die übliche Formel „minus zwei" ergäbe null nutzbare Adressen – sichtbar falsch. Verwendet wird das für Punkt-zu-Punkt-Strecken zwischen zwei Routern, wo ein /30 die Hälfte der Adressen verschenken würde. Auf Verbindungen, die tatsächlich nur zwei Enden haben, ist es die sparsamere Wahl – sofern beide Geräte es unterstützen, was heute die Regel ist.

Ein 32er-Präfix ist eine einzelne Adresse. Kein Netz, kein Broadcast, kein Bereich. Man begegnet ihm bei Loopback-Adressen auf Routern, bei Host-Routen und in Firewall-Regeln, die genau ein Gerät meinen.

Welche Bereiche man intern verwenden darf

Für private Netze sind nach RFC 1918 drei Bereiche reserviert. Der Rechner weist oben aus, in welchem die eingegebene Adresse liegt:

• 10.0.0.0/8 – gut 16 Millionen Adressen. Die sinnvolle Wahl, sobald mehr als eine Handvoll Segmente absehbar ist.
• 172.16.0.0/12 – umfasst 172.16 bis172.31, nicht nur 172.16. Dieser Bereich wird am häufigsten falsch verstanden.
• 192.168.0.0/16 – 256 Netze der Größe /24. Der Bereich, den jeder Heimrouter ab Werk verwendet, und genau deshalb der ungünstigste für alles, was später einmal per VPN mit einem anderen Standort verbunden werden soll.

Der letzte Punkt ist keine Theorie: Wenn zwei Standorte beide192.168.0.0/24 verwenden, lässt sich zwischen ihnen kein brauchbares VPN aufbauen, ohne eines der Netze umzunummerieren. Wer die Wahl hat, nimmt aus 10.0.0.0/8 einen Bereich, der unwahrscheinlich kollidiert – etwa mit einem eigenen Schema in den mittleren Oktetten statt beginnend bei 10.0.0.

Wie groß soll ein VLAN sein?

Die verbreitete Antwort lautet /24, meist aus Gewohnheit. Für die Planung sind zwei Fragen nützlicher.

Wie viele Geräte kommen wirklich hinein? Ein Segment für Verwaltungszugänge mit acht Switches, zwei Hypervisoren und einer USV braucht kein /24. Ein /27 mit 30 Adressen reicht mit Reserve. Kleine Segmente begrenzen nebenbei den Broadcast-Verkehr und machen Portscans im Ernstfall langsamer.

Bleibt das Schema lesbar? Wer das dritte Oktett als VLAN-Nummer verwendet – VLAN 30 wird 10.20.30.0/24 –, kann später aus jeder Adresse ablesen, wo sie hingehört. Diese Lesbarkeit ist im Störungsfall mehr wert als die gesparten Adressen. Ein /24 je Segment ist dann kein Verschwenden, sondern eine Investition in Übersicht.

Für den Zwischenweg gibt es die Aufteilung oben: Ein /24 in vier /26 zerlegt ergibt vier Segmente mit je 62 Adressen – genug für die meisten Zwecke und trotzdem sauber getrennt. Die Tabelle zeigt die entstehenden Netze mit ihren Grenzen; von Hand ist genau das die fehleranfälligste Rechnung im ganzen Entwurf.

Was das mit Datensicherung zu tun hat

Zwei Stellen, an denen die Netzaufteilung direkt auf die Sicherung durchschlägt.

Das Backup-Ziel gehört nicht ins allgemeine Netz. Wer Zugriff auf ein Segment hat, hat perspektivisch Zugriff auf alles darin. Ein eigenes Segment für Backup-Systeme, erreichbar nur aus definierten Quellen und nur auf den benötigten Ports, ist der wirksamste einzelne Schritt gegen die Sabotage der Sicherungen. Warum Angreifer genau dort zuerst hingehen, steht inRansomware-sichere Backups.

Der Restore-Test braucht ein isoliertes Netz. Eine wiederhergestellte VM startet mit der IP-Adresse, die sie zum Sicherungszeitpunkt hatte. Läuft das Original noch, stehen zwei Maschinen mit derselben Adresse im selben Segment – und der Test richtet mehr Schaden an als der Fall, für den er üben sollte. Ein kleines Testsegment, etwa ein /29 ohne Verbindung nach außen, gehört deshalb zur Vorbereitung. Das Verfahren steht inRestore testen.

Zu IPv6

Dieser Rechner behandelt ausschließlich IPv4. Bei IPv6 stellt sich die Aufgabe anders: Dort ist /64 je Segment der Normalfall, Adressknappheit spielt keine Rolle, und Netzadresse und Broadcast existieren in dieser Form nicht mehr. Ein Rechner, der beides in dieselbe Oberfläche zwängt, hilft bei keinem von beiden.