Wie funktioniert dieses Tool?
- Adresse mit Präfix eingeben. CIDR-Schreibweise oder Adresse und Netzmaske getrennt durch ein Leerzeichen.
- Netzadresse ablesen. Sie ergibt sich aus der Adresse und dem Präfix — die Host-Bits werden auf null gesetzt.
- Binärdarstellung prüfen. Die farbliche Trennung zeigt genau, wo die Netzgrenze verläuft.
- Aufteilen. Jede Verdoppelung der Teilnetze verlängert das Präfix um ein Bit und halbiert die Hostzahl.
Expertenwissen: Subnetze verstehen
Was das Präfix bedeutet
192.168.1.100/24
11000000.10101000.00000001 | 01100100
└──────── Netz, 24 Bit ────┘ └ Host ┘
Netzadresse = Host-Bits auf 0 → 192.168.1.0
Broadcast = Host-Bits auf 1 → 192.168.1.255
Adressen = 2^(32−24) = 256
Eine IPv4-Adresse ist eine 32-Bit-Zahl, die nur der Lesbarkeit halber in vier Blöcke zerlegt wird. Das Präfix trennt sie in Netz- und Hostanteil. Alles, was der Rechner ausgibt, folgt aus dieser einen Trennung — Netzadresse, Broadcast und Bereich sind keine zusätzlichen Angaben, sondern Folgerungen daraus.
Warum 254 und nicht 256
In einem IPv4-Netz sind zwei Adressen belegt: die Netzadresse mit lauter Nullen im Hostanteil, die das Netz selbst bezeichnet, und die Broadcast-Adresse mit lauter Einsen, die alle Geräte gleichzeitig erreicht. Ein /24 hat deshalb 256 Adressen, aber nur 254 nutzbare.
Zwei Ausnahmen sind wichtig. Ein /31 hätte rechnerisch null nutzbare Adressen und wäre damit sinnlos; RFC 3021 erlaubt deshalb, beide Adressen zu nutzen — gedacht für Punkt-zu-Punkt-Verbindungen zwischen genau zwei Routern, wo Broadcast ohnehin überflüssig ist. Ein /32 bezeichnet eine einzelne Adresse und wird für Host-Routen und Zugriffslisten verwendet.
Der 172er-Bereich ist die häufigste Fehlerquelle
RFC 1918 reserviert drei Bereiche für private Netze: 10.0.0.0/8,
172.16.0.0/12 und 192.168.0.0/16. Der mittlere wird
regelmäßig falsch erinnert: Er reicht von 172.16 bis 172.31, nicht bis
172.255. Ein /12 umfasst 16 Zweitoktette, nicht 256. Wer 172.32.0.0 als privat annimmt,
verwendet öffentlichen Adressraum in seinem internen Netz — mit der Folge, dass die
echten Ziele hinter diesen Adressen unerreichbar werden.
Weitere Bereiche mit Sonderrolle: 127.0.0.0/8 für Loopback,
169.254.0.0/16 für automatische Adressen ohne DHCP,
100.64.0.0/10 für Carrier-Grade NAT bei Providern und
224.0.0.0/4 für Multicast.
Netzmaske und Wildcard
Die Netzmaske ist die Präfixlänge in Punktschreibweise: /24 entspricht 255.255.255.0. Die Wildcard-Maske ist deren bitweise Umkehrung, also 0.0.0.255, und wird in Zugriffslisten verwendet. Dort steht eine Null für „Bit muss übereinstimmen" und eine Eins für „Bit ist beliebig" — genau umgekehrt zur Netzmaske. Die Verwechslung ist ein Klassiker und öffnet im Zweifel ganz andere Bereiche als beabsichtigt.
IPv6 rechnet anders
IPv6-Adressen sind 128 Bit lang und werden hexadezimal in acht Gruppen geschrieben.
Zwei Schreibregeln erlauben Kürzungen: führende Nullen einer Gruppe entfallen, und die
längste Folge aus Null-Gruppen wird einmalig durch :: ersetzt. Genau einmal
— sonst wäre die Adresse nicht mehr eindeutig rekonstruierbar.
Drei Unterschiede sind praktisch bedeutsam. Es gibt keinen Broadcast; seine Aufgaben übernimmt Multicast, weshalb alle Adressen eines Präfixes nutzbar sind. /64 ist die Standardgröße für ein Endnetz, weil die automatische Adressbildung 64 Hostbits erwartet — kleinere Netze sind technisch möglich, brechen aber die Autokonfiguration. Und die Zahlen sprengen jede Anschauung: Ein einzelnes /64 enthält rund 18,4 Trillionen Adressen, mehr als das Vierfache des gesamten IPv4-Adressraums im Quadrat.
Für die Rechnung heißt das: Ein /64 hat 2⁶⁴ Adressen, und diese Zahl lässt sich mit Gleitkommazahlen nicht mehr exakt darstellen — ab 2⁵³ fehlen ganze Zahlen. Dieser Rechner arbeitet deshalb intern mit Ganzzahlen beliebiger Größe.
Drei Praxisfälle
Fall 1 – Heimnetz erweitern. 192.168.1.0/24 bietet 254 Geräte. Wer mehr braucht, wechselt auf /23 und erhält 510 — allerdings muss dann auch der DHCP-Bereich angepasst werden, sonst verteilt der Router weiterhin nur aus dem alten Ausschnitt.
Fall 2 – Netz für vier Abteilungen aufteilen. Aus einem /24 werden vier /26 mit je 62 nutzbaren Adressen. Wichtig ist die Reihenfolge: Erst die Größe je Teilnetz bestimmen, dann aufteilen — nachträgliches Vergrößern eines Teilnetzes erzwingt sonst eine Neuvergabe aller folgenden.
Fall 3 – Zugriffsliste auf einer Firewall. Für „nur das Netz 10.20.30.0/24" lautet die Wildcard 0.0.0.255. Wer versehentlich 255.255.255.0 einträgt, erlaubt genau die Gegenmenge.
Typische Fehler
- 172.16.0.0/12 bis 172.255 rechnen. Der private Bereich endet bei 172.31.
- Netzmaske und Wildcard verwechseln. Sie sind zueinander invers.
- Bei IPv4 alle Adressen als nutzbar zählen. Netz und Broadcast fallen weg.
- Bei IPv6 eine Broadcast-Adresse suchen. Es gibt keine.
- IPv6-Netze kleiner als /64 vergeben. Das bricht die automatische Adressbildung.
- Zweimal
::in einer IPv6-Adresse schreiben. Erlaubt ist genau ein Vorkommen. - Die Adresse statt der Netzadresse in Routen eintragen. Router erwarten das Netz, nicht einen Host daraus.
Häufige Fragen
Was bedeutet die Zahl hinter dem Schrägstrich?
Sie gibt an, wie viele Bits der Adresse zum Netz gehören. Bei 192.168.1.0/24 sind die ersten 24 der 32 Bit die Netzkennung, die restlichen 8 Bit adressieren die Geräte im Netz. Diese Schreibweise heißt CIDR und hat die früheren Netzklassen A, B und C abgelöst, weil sie beliebige Netzgrößen erlaubt statt nur drei feste. Je größer die Zahl, desto kleiner das Netz.
Warum sind zwei Adressen nicht nutzbar?
Die erste Adresse eines IPv4-Netzes ist die Netzadresse und bezeichnet das Netz selbst, die letzte ist die Broadcast-Adresse und erreicht alle Geräte gleichzeitig. Beide lassen sich keinem einzelnen Gerät zuweisen. Ein Netz mit 256 Adressen bietet daher 254 nutzbare. Bei einem /31 gilt eine Sonderregel nach RFC 3021: Dort sind beide Adressen nutzbar, weil solche Netze nur für Punkt-zu-Punkt-Verbindungen zwischen genau zwei Geräten gedacht sind.
Welche Adressbereiche sind privat?
Nach RFC 1918 sind das bei IPv4 die Bereiche 10.0.0.0/8, 172.16.0.0/12 und 192.168.0.0/16. Sie werden im Internet nicht geroutet und lassen sich deshalb in jedem lokalen Netz frei verwenden. Häufig verwechselt wird 172.16.0.0/12: Der private Bereich reicht von 172.16 bis 172.31, nicht bis 172.255. Bei IPv6 übernimmt fd00::/8 diese Rolle als eindeutige lokale Adressen.
Gibt es bei IPv6 auch eine Broadcast-Adresse?
Nein. IPv6 kennt keinen Broadcast; seine Aufgaben übernimmt Multicast. Alle Adressen eines Präfixes sind damit grundsätzlich nutzbar. In der Praxis sind einzelne Adressen dennoch reserviert, etwa die Subnet-Router-Anycast-Adresse am Anfang des Präfixes. Standardgröße für ein Endnetz ist /64, weil die automatische Adressbildung darauf ausgelegt ist – kleinere Präfixe sind technisch möglich, brechen aber die Autokonfiguration.
Wozu dient die Wildcard-Maske?
Sie ist die bitweise Umkehrung der Netzmaske und wird in Zugriffslisten von Netzwerkgeräten verwendet, klassisch bei Cisco-Systemen. Wo die Netzmaske 255.255.255.0 lautet, ist die Wildcard 0.0.0.255. Die Null steht dabei für ein Bit, das übereinstimmen muss, die Eins für ein beliebiges Bit. Wer beide verwechselt, öffnet oder sperrt versehentlich völlig andere Bereiche als beabsichtigt.