Subnetting verstehen: IP-Adressen, Netzmasken und CIDR praktisch erklärt

Subnetting verstehen: IP-Adressen, Netzmasken und CIDR praktisch erklärt

Wer Server betreibt, Firewalls konfiguriert oder Container-Netzwerke plant, kommt an Subnetting nicht vorbei. Das Thema wirkt auf den ersten Blick trocken – ist aber im Kern einfach: Eine IP-Adresse wird in Netzanteil und Hostanteil aufgeteilt. Dieser Artikel erklärt die Mechanik anhand von Beispielen und zeigt, wie man Subnetze korrekt berechnet und plant.

IPv4-Grundlagen: Adresse und Maske

Eine IPv4-Adresse besteht aus 32 Bit, üblicherweise als vier Oktetts geschrieben: 192.168.1.10 entspricht binär 11000000.10101000.00000001.00001010. Die Subnetzmaske legt fest, wie viele Bits zum Netz gehören. Die Schreibweise 192.168.1.0/24 (CIDR) sagt: die ersten 24 Bits sind Netzanteil, die restlichen 8 Bits sind Hostanteil.

PräfixMaskeHosts nutzbarBeispiel
/24255.255.255.0254192.168.1.0/24
/25255.255.255.128126192.168.1.128/25
/26255.255.255.19262192.168.1.192/26
/27255.255.255.22430192.168.1.224/27
/28255.255.255.24014192.168.1.240/28

Faustregel: Nutzbare Hosts = 2(32 - Präfix) - 2. Die zwei abgezogenen Adressen sind Netzadresse (alle Host-Bits 0) und Broadcast (alle Host-Bits 1).

Die vier Zahlen eines Subnetzes

Zu jedem Subnetz gehören vier wichtige Werte:

  1. Netzadresse – kleinste Adresse, identifiziert das Netz (z.B. 192.168.1.0).
  2. Erste nutzbare Adresse – Netzadresse + 1 (z.B. 192.168.1.1, oft der Router/Gateway).
  3. Letzte nutzbare Adresse – Broadcast - 1 (z.B. 192.168.1.254).
  4. Broadcast-Adresse – größte Adresse, erreicht alle Hosts im Netz (z.B. 192.168.1.255).

Berechnung Schritt für Schritt

Beispiel: Netz 10.20.30.0/26. Präfix 26 bedeutet 6 Host-Bits, also 26 = 64 Adressen pro Subnetz. Die Subnetze in diesem /24-Bereich beginnen bei 0, 64, 128, 192:

  • Subnetz 1: 10.20.30.0 – 10.20.30.63 (Hosts 1–62)
  • Subnetz 2: 10.20.30.64 – 10.20.30.127 (Hosts 65–126)
  • Subnetz 3: 10.20.30.128 – 10.20.30.191 (Hosts 129–190)
  • Subnetz 4: 10.20.30.192 – 10.20.30.255 (Hosts 193–254)

Die Subnetzgröße bestimmt die Schrittweite: /26 = 64, /25 = 128, /27 = 32. Wichtig: Subnetze müssen an ihren Vielfachen beginnen („Alignment"). Ein /26-Subnetz darf nur bei 0, 64, 128 oder 192 starten, nicht bei 100.

Subnetting in der Praxis: Ein kleines Büronetz

Angenommen, ein Unternehmen bekommt 203.0.113.0/24 (Testnetz laut RFC 5737). Gefordert: Server, Clients, Gäste-WLAN und Management getrennt.

VLAN 10  Server:      203.0.113.0/26   (62 Hosts, .1 Gateway)
VLAN 20  Clients:     203.0.113.64/26   (62 Hosts, .65 Gateway)
VLAN 30  Gäste-WLAN:  203.0.113.128/27  (30 Hosts, .129 Gateway)
VLAN 40  Management:  203.0.113.160/28  (14 Hosts, .161 Gateway)

So bleiben Adressen übrig und jedes Segment ist klar abgegrenzt. Firewall-Regeln können dann pro Subnetz formuliert werden – deutlich einfacher und sicherer als hostweise Regeln (siehe auch Firewall-Grundlagen).

IPv6: Kein Subnetting im klassischen Sinne

IPv6-Adressen sind 128 Bit lang. Der Präfix /64 ist Standard für jedes Subnetz – das sind 264 Adressen, praktisch unerschöpflich. Statt sparsamer Adressplanung geht es hier um saubere Hierarchie: Provider-Präfix (z.B. /48) → Standort-Präfix (z.B. /56) → Subnetz (/64). Die alten „Rechnen mit Hosts"-Probleme entfallen; SLAAC (Stateless Address Autoconfiguration) vergibt Adressen automatisch. Mehr dazu im Artikel TCP/IP-Grundlagen.

Werkzeuge zum Prüfen und Rechnen

  • ipcalc 192.168.1.0/26 – zeigt Netzadresse, Broadcast, Hostbereich.
  • ip addr / ip route – lokale Adressen und Routen anzeigen.
  • ping -c4 8.8.8.8 – Erreichbarkeit; traceroute zeigt den Pfad.
  • Online-Rechner wie subnet.ninja oder sipcalc für schnelle Plausibilitätschecks.

VLSM: Variable Subnetzmasken für effiziente Planung

In der Praxis bekommt man selten ein einziges Subnetz – meist muss man einen Adressbereich in unterschiedlich große Stücke teilen. Das nennt sich VLSM (Variable Length Subnet Masking). Beispiel: Ein /24 (256 Adressen) soll in drei Bereiche geteilt werden:

1. Server:      /26 (64 Adressen)   → 203.0.113.0   – 203.0.113.63
2. Clients:     /26 (64 Adressen)   → 203.0.113.64  – 203.0.113.127
3. Rest:        /25 (128 Adressen)  → 203.0.113.128 – 203.0.113.255

Die Regel: Immer das größte benötigte Subnetz zuerst platzieren. So bleibt am Ende ein zusammenhängender Restblock statt vieler kleiner Löcher. Ein häufiger Fehler ist, kleinere Subnetze zuerst zu vergeben – dann passt das große nicht mehr an eine passende Grenze.

Routing- und Firewall-Praxis mit Subnetzen

Subnetze sind die Grundlage für saubere Firewall-Regeln. Statt einzelner Hosts schreibt man Bereichsregeln:

# Beispiel (nftables, stark vereinfacht)
nft add rule inet filter input ip saddr 203.0.113.0/26 accept
nft add rule inet filter input ip saddr 0.0.0.0/0 drop

Ein Router zwischen VLANs braucht in jedem Subnetz eine IP (Gateway) und eine Route. Statische Routen sind überschaubar: ip route add 203.0.113.64/26 via 203.0.113.1. Für größere Netze kommt dynamisches Routing (OSPF/BGP) ins Spiel – die Grundlagen dazu in TCP/IP-Grundlagen.

Typische Fehler

  • Gateway außerhalb des Subnetzes konfigurieren – dann ist keine Route ins Internet möglich.
  • Zwei Geräte mit derselben IP – führt zu instabilen Verbindungen (ARP-Flackern).
  • Subnetze überlappend planen – Firewalls und Router verhalten sich dann unvorhersehbar.
  • Maske verwechseln: /24 ist nicht 255.255.255.0 „oder so" – jede falsche Maske ändert die Netzgrenzen.

Fazit

Subnetting ist reine Bit-Arithmetik – wer die Mechanik von Netzadresse, Broadcast und Schrittweite versteht, kann jedes Netz sauber planen. Zusammen mit DNS, DHCP und Firewalls entsteht daraus eine stabile, wartbare Netzwerk-Infrastruktur. Die praktische Einordnung ins Gesamtbild liefert der Artikel DNS-Grundlagen.

Verwandte Artikel: TCP/IP-Grundlagen · Firewall-Grundlagen · Systemadministration