Wie es funktioniert
IPv4-Subnetting teilt einen 32-Bit-Adressraum in kleinere Netze auf, indem die linken N Bit als Netz-ID reserviert werden und die verbleibenden 32 − N Bit für Hosts dienen. Die CIDR-Schreibweise (z. B. 192.168.1.0/24) macht den Schnitt explizit: /24 bedeutet, dass die ersten 24 Bit das Netz sind, sodass 8 Bit (256 Adressen) für Hosts bleiben. Von diesen 256 sind zwei reserviert — die Netzadresse (Host-Bits alle 0) und die Broadcast-Adresse (Host-Bits alle 1) — sodass /24 254 nutzbare Host-Adressen ergibt. Formel: gesamt = 2^(32 − N), nutzbar = 2^(32 − N) − 2 (für /30 und kürzer). /31 und /32 sind Sonderfälle: /31 (RFC 3021) wird für Point-to-Point-Links genutzt und behandelt beide Adressen als nutzbar; /32 ist ein einzelner Host ohne nutzbaren Bereich.
Die Subnetzmaske ist dieselbe Idee anders ausgedrückt: eine 32-Bit-Zahl mit den linken N Bit auf 1 und dem Rest auf 0. /24 → 255.255.255.0. /16 → 255.255.0.0. /27 → 255.255.255.224. Die Wildcard-Maske ist invers — viel in Cisco-ACLs und OSPF — und gleich 255.255.255.255 minus der Subnetzmaske. /24 Wildcard = 0.0.0.255. Mit der Maske ergibt sich die Netzadresse aus IP UND Maske; Broadcast = Netz ODER invertierte Maske; Host-Bereich liegt dazwischen, ohne Ränder.
Praktische Hinweise. (1) Kleinere Präfixe (niedriges N, z. B. /16) = mehr Adressen; größere Präfixe (hohes N, z. B. /29) = weniger. /16 = 65 536 Adressen, /29 = 8 (6 nutzbar). Trade-off: kleine Präfixe leichter erweiterbar, aber Adressverschwendung; große konservieren, begrenzen aber Wachstum. Planen Sie 2-3× den aktuellen Bedarf. (2) Übliche Zuteilungen: /24 für typisches Büro-LAN (254 Hosts), /27 für kleines Büro (30), /29 für Point-to-Point oder kleine DMZ (6). Cloud-Anbieter (AWS, Azure, GCP) weisen meist /16 oder /20 für VPCs zu und teilen in /24 für Subnetze pro Verfügbarkeitszone. (3) Private Bereiche nach RFC 1918: 10.0.0.0/8 (16M), 172.16.0.0/12 (1M), 192.168.0.0/16 (65K) — in Firmennetzen verwenden; Router routen sie nicht ins öffentliche Internet. (4) IPv6 folgt denselben Prinzipien, aber 128-Bit-Adressen und Standardpräfix /64 für End-Subnetze, mit 64-Bit-Interface-ID für den Host-Teil (praktisch unendliche Hosts pro Subnetz — die Großzügigkeit ist Design-Absicht).
Die Formel
N ist die CIDR-Präfixlänge (1-32). Alle Operationen sind 32-Bit-unsigned-bitweise. Die Netzadresse ist die niedrigste im Subnetz (Host-Bits alle 0). Die Broadcast-Adresse die höchste (Host-Bits alle 1). Hosts dürfen keinem reservierten Adresswert zugewiesen werden — sie werden von Routingprotokollen genutzt. /31 und /32 sind nach RFC 3021 und moderner Praxis Sonderfälle.
Beispielrechnung
- Subnetz für 192.168.10.50/24 berechnen.
- Maske = 255.255.255.0. Netz = 192.168.10.0. Broadcast = 192.168.10.255. Bereich = 192.168.10.1 bis 192.168.10.254. Gesamt = 256, nutzbar = 254.
- Für ein kleineres Subnetz 10.0.0.20/27: Maske = 255.255.255.224. Netz = 10.0.0.0. Broadcast = 10.0.0.31. Bereich = 10.0.0.1 bis 10.0.0.30. Gesamt = 32, nutzbar = 30.
- Bei einem /30 für Point-to-Point — z. B. 172.16.0.4/30: Maske = 255.255.255.252. Netz = 172.16.0.4. Broadcast = 172.16.0.7. Bereich = 172.16.0.5 bis 172.16.0.6. Nur 2 nutzbar (die Linkenden).
Häufig gestellte Fragen
Warum sind pro Subnetz immer zwei Adressen reserviert?
Der All-Null-Host-Teil identifiziert das Netz selbst (in Routing-Tabellen und Protokoll-Austausch verwendet) und kann keinem Host zugewiesen werden. Der All-Eins-Host-Teil ist die gerichtete Broadcast-Adresse — Pakete dorthin erreichen jeden Host im Subnetz — und ist dafür reserviert. RFC 950 (1985) hat das standardisiert. Einzige Ausnahme in moderner Praxis: /31-Subnetze (RFC 3021, 2001) für Point-to-Point behandeln beide Adressen als nutzbar, da Broadcast auf einem 2-Host-Link sinnlos ist. /32 (Einzelhost) hat keinen Host-Bereich — es ist eine Host-Route, kein Subnetz.
Wie wähle ich die richtige Subnetzgröße?
Beginnen Sie mit der aktuellen Host-Zahl, multiplizieren Sie mit 2-3 für Wachstumspuffer, runden Sie auf die nächste Zweierpotenz, addieren Sie 2 reservierte und rechnen Sie zurück in das CIDR-Präfix. Für 50 Hosts heute mit erwarteten 100 in einigen Jahren: 100 + 2 = 102, nächste Zweierpotenz = 128 = 2^7, also /25 (32 − 7) liefert 128 Adressen (126 nutzbar). Nicht zu großzügig aufrunden — jede verschwendete Adresse ist ohne Umnummerierung nicht anderweitig zuweisbar. Übliche Wahl: /29 (6) für winzige DMZs; /28 (14) für kleine Server-Racks; /27 (30) für kleine Büros; /26 (62) für mittlere; /25 (126) für Abteilungen; /24 (254) für Stockwerks-LANs; /23 (510) für mehrere Stockwerke; /22 (1022) für Gebäude.
Was ist der Unterschied zwischen Subnetz- und Wildcard-Maske?
Sie sind bitweise invers. Eine Subnetzmaske hat 1-Bits dort, wo die Netzkennung sitzt, und 0-Bits beim Host-Teil — von Routing-Logik genutzt, um die Netzadresse aus einer IP zu extrahieren. Eine Wildcard-Maske ist invers: 0-Bits, wo Bits übereinstimmen müssen (Netz), und 1-Bits, wo sie variieren dürfen (Host) — in Cisco-ACLs und OSPF-Area-Deklarationen verwendet, um „diese Bits matchen, Rest ignorieren" auszudrücken. /24 hat Subnetzmaske 255.255.255.0 und Wildcard 0.0.0.255. Beide tragen dieselbe Information, doch Router erwarten je nach Befehl unterschiedliche Formen. Vor dem Tippen prüfen, welche die Syntax verlangt.