Was ist eine Subnetzmaske? Wie /24 und 255.255.255.0 zusammenpassen

Eine IP-Adresse allein sagt nicht, wo ein Netzwerk endet und der Rest des Internets beginnt. Diese Grenze stammt von einem zweiten Wert, der mit der Adresse reist: der Subnetzmaske. Die Maske teilt jede Adresse in einen Netzwerkteil, den sich alles im selben lokalen Netzwerk teilt, und einen Hostteil, der ein bestimmtes Gerät darin kennzeichnet.

Sie haben eine Maske mit ziemlicher Sicherheit schon als 255.255.255.0 geschrieben gesehen, und genauso oft als Zahl mit Schrägstrich wie /24, die am Ende einer Adresse klebt. Es ist dieselbe Information in zwei Schreibweisen, und sobald Sie sehen, wie die eine zur anderen wird, hören beide auf, wie magische Zahlen auszusehen.

Was die Maske tatsächlich tut

Ein Gerät benutzt die Maske ständig, und zwar für eine entscheidende Frage: Liegt dieses Ziel in meinem eigenen Netzwerk oder nicht? Stimmt der Netzwerkteil des Ziels mit seinem eigenen überein, liefert das Gerät den Verkehr direkt über das lokale Netzwerk. Stimmt er nicht überein, übergibt das Gerät den Verkehr an sein Gateway (meist den Router) zur Weiterleitung. Fast jeder Fehler der Art „Ich sehe den Drucker, aber nicht das Internet“ ist dieser Vergleich, der die Antwort gibt, die seine Konfiguration nahelegt.

Unter der Haube ist die Maske eine Reihe von Bits, eines für jedes Bit der Adresse. Wo die Maske eine 1 hat, gehört dieses Bit der Adresse zum Netzwerkteil; wo sie eine 0 hat, gehört das Bit zum Hostteil. Die Teilung muss nicht auf eine saubere Grenze fallen, obwohl sie das in Alltagsnetzwerken sehr oft tut.

Zwei Schreibweisen, eine Bedeutung

Die Maske 255.255.255.0 ist binär geschrieben vierundzwanzig 1-Bits, gefolgt von acht 0-Bits. Zählen Sie die Einsen, und Sie haben das CIDR-Präfix: /24. Das ist alles, was die Schrägstrich-Schreibweise ist: eine Zählung, wie viele führende Bits der Adresse die Maske für das Netzwerk beansprucht. Der volle Hintergrund steht in was CIDR-Schreibweise ist, aber die Umrechnung selbst ist nur Zählen.

Eine Maske ist immer eine Folge von Einsen, dann Nullen

Die Bits der Maske wechseln sich nie ab. Von links nach rechts gelesen gibt es eine Folge von 1-Bits und dann eine Folge von 0-Bits, mit genau einer Grenze dazwischen, und genau darum funktioniert die Präfixzählung: Es gibt nur die Zahl der Einsen zu berichten. Ein Wert wie 255.255.0.255 ist keine gültige Maske, weil seine Einsen nicht zusammenhängen, und keine Präfixzahl könnte ihn beschreiben. Ältere Dokumentation benennt Masken manchmal nach den historischen Adressklassen (die alten Klassen-Standardwerte waren 255.0.0.0, 255.255.0.0 und 255.255.255.0), aber die klassenlose Adressierung hat die Klassen abgeschafft; was bleibt, sind Maske und Präfix, und sie dürfen auf jedes Bit fallen, nicht nur auf jedes achte.

Ein durchgerechnetes Beispiel: 192.0.2.0/24

Nehmen Sie den Dokumentationsbereich 192.0.2.0/24. Die Maske 255.255.255.0 beansprucht die ersten drei Gruppen (192.0.2) als Netzwerkteil und lässt die letzte Gruppe für die Hosts. Also gehört jede Adresse von 192.0.2.0 bis 192.0.2.255 zu diesem einen Netzwerk: 192.0.2.0 benennt das Netzwerk, 192.0.2.255 ist seine Broadcast-Adresse, und Hosts können 192.0.2.1 bis 192.0.2.254 verwenden.

Teilen Sie ihn nun. Mit /25 (Maske 255.255.255.128) teilt sich derselbe Raum in zwei Netzwerke mit je 128 Adressen: 192.0.2.0 bis 192.0.2.127, und 192.0.2.128 bis 192.0.2.255. Ein Host unter 192.0.2.10 mit einer /25-Maske behandelt 192.0.2.200 nun als entfernt, obwohl es unter /24 ein Nachbar war, und sendet diesen Verkehr stattdessen an sein Gateway. Die Adressen haben sich nicht geändert; die Grenze schon, und die Grenze lebt in der Maske.

Ein zweites durchgerechnetes Beispiel: vier Abteilungen in einem /24

Beim Aufteilen hören Masken auf, Theorie zu sein. Angenommen, ein kleines Büro kontrolliert 198.51.100.0/24 und möchte vier getrennte Netzwerke, eines pro Abteilung, damit der alltägliche Verkehr jeder Gruppe bei sich selbst lokal bleibt. Verschieben Sie die Grenze um zwei Bits, von /24 nach /26 (Maske 255.255.255.192), so wird der Block in vier Netzwerke mit je 64 Adressen geviertelt:

Beachten Sie die Kosten der Aufteilung. Vier Netzwerke mit 62 nutzbaren Hosts fassen zwischen sich 248 Geräte, nicht 254: Jede neue Subnetzgrenze gibt zwei weitere Adressen für einen Netzwerknamen und eine Broadcast-Adresse aus, und wenn Sie zu eifrig aufteilen, wächst der Overhead. Darum ist Subnetting ein Ausgleich zwischen Trennung und Verschwendung. Beachten Sie auch, dass ein Host in der ersten Abteilung unter 198.51.100.20 mit einer /26-Maske die 198.51.100.80 der zweiten Abteilung nun als entfernt behandelt, obwohl beide Adressen vorher glücklich in einem einzigen /24 saßen, und sein Verkehr zwischen den Abteilungen einen Umweg über den Router nimmt. Diese Trennung ist genau das, worum das Büro gebeten hat; die Maske ist einfach der Ort, an dem sie niedergeschrieben wurde.

Eine praktische Regel, wenn Sie einen Block auf diese Weise aufteilen: Bemessen Sie jedes Subnetz für die nächsten paar Jahre der Gruppe, nicht für ihre heutige Kopfzahl. Ein laufendes Netzwerk umzunummerieren, weil das Subnetz einer Abteilung vollgelaufen ist, ist mühsame, störende Arbeit, während es nichts kostet, in der Planungsphase großzügig Raum in einem Block zu reservieren, den Sie bereits kontrollieren.

Wildcard-Masken: dieselben Bits, nur umgedreht

Eine Verwandte der Subnetzmaske verwirrt jeden, der ihr zum ersten Mal begegnet. Manche Router-Konfigurationen, namentlich Zugriffskontrolllisten, verwenden eine Wildcard-Maske, also die umgekehrte Subnetzmaske: Wo die Subnetzmaske 1-Bits hat, die den Netzwerkteil markieren, hat die Wildcard 0-Bits, und ihre 1-Bits bedeuten 'dieses Bit der Adresse ist egal'. Die Wildcard-Partnerin von 255.255.255.0 ist 0.0.0.255 und wählt dieselbe Grenze aus der entgegengesetzten Richtung. Wenn eine Konfiguration eine Wildcard verlangt und Sie ihr eine Subnetzmaske geben, haben Sie gerade genau die Adressen getroffen, die Sie ignorieren wollten, darum lohnt es sich, die beiden Schreibweisen auseinanderzuhalten.

Warum die Maske entscheidet, was „lokal“ ist

Das ist der Teil mit den täglichen Folgen. Zwei Geräte mit denselben Adressen, aber unterschiedlichen Masken können sich uneinig sein, ob sie Nachbarn sind, und wenn sie es sind, fließt der Verkehr in die eine Richtung und nicht in die andere, oder er macht ohne erkennbaren Grund einen Umweg über das Gateway. Das klassische Heimnetzwerk-Symptom, ein Gerät erreicht einen Drucker, während ein anderes es nicht kann, ist sehr oft ein Gerät, das mit 255.255.255.0 konfiguriert ist, und das andere mit 255.255.0.0, jedes zeichnet die lokale Grenze an einer anderen Stelle.

Die Maske legt auch die Größe des Netzwerks fest, das Sie bauen. Ein /24 gibt 254 nutzbare Adressen, reichlich für ein Zuhause und die meisten kleinen Büros. Größere Räume, wie die privaten Bereiche, die in öffentliche und private IP-Adressen beschrieben sind, werden mit Masken genau auf dieselbe Weise geschnitten, nur mit der Teilung an einer anderen Stelle. Eine Maske zu wählen heißt zu wählen, wie viele Nachbarn ein Gerät hat und wie viel Raum das Netzwerk zum Wachsen hat.

Wo Ihnen die Maske tatsächlich begegnet

Meistens kommt die Maske still an, zusammen mit der Adresse vom DHCP-Dienst des Routers an Ihr Gerät übergeben, und Sie könnten Netzwerke jahrelang benutzen, ohne je eine zu tippen. Sichtbar wird sie in dem Moment, in dem etwas von Hand konfiguriert wird: eine statische Adresse auf einem Server oder Drucker, ein VPN-Client, der nach einem lokalen Bereich fragt, ein zweiter Router, der ein Zuhause erweitern soll. In jedem Fall sitzt das Maskenfeld neben dem Adressfeld, und beide ergeben nur zusammen Sinn. Die Adresse von einer Stelle und die Maske von einer anderen zu kopieren ist ein klassischer Weg, ein Gerät zu bauen, das nur halb funktioniert.

Die Ausnahmen: /31-Verbindungen und /32-Routen

Die Minus-zwei-Regel hat ehrliche Ausnahmen, und ihnen jetzt zu begegnen verhindert spätere Verwirrung. Eine /31-Maske lässt ein einziges Host-Bit und genau zwei Adressen; auf einer Punkt-zu-Punkt-Verbindung zwischen zwei Routern, wo es nichts zu broadcasten gibt und nur einen möglichen Nachbarn, sind diese beiden Adressen beide nutzbar, ein Spezialfall, der in RFC 3021 dargelegt ist. Eine /32-Maske besteht nur aus Einsen: genau eine Adresse, verwendet für Host-Routen, die ein einzelnes bestimmtes Gerät benennen, wie die eigene Loopback-Adresse eines Routers. Am fernen Ende beansprucht eine /0-Maske überhaupt keine Bits, trifft auf alles zu und erscheint in der Standardroute, dem Gateway-Eintrag, auf den ein Gerät für jedes Ziel außerhalb seines eigenen Netzwerks zurückfällt. Das Bild ändert sich nie, eine Folge von Einsen, gefolgt von einer Folge von Nullen; nur die Grenze ist an die Extreme gewandert.

Es ohne die Rechnerei herausfinden

Niemand sollte Binärzahlen von Hand umrechnen müssen, um praktische Fragen zu beantworten, etwa wie viele Hosts hineinpassen oder wo ein Block beginnt und endet. Der Subnetzrechner nimmt eine Adresse und ein Präfix (oder eine Maske) und gibt die Netzwerkadresse, die Broadcast-Adresse, den ersten und letzten nutzbaren Host und die Anzahlen zurück, also alles, was die Maske über den Block aussagt. Probieren Sie ihn mit 192.0.2.0/24 und dann mit /25 und beobachten Sie, wie die Grenze wandert.

Die Gewohnheit, die sich zu pflegen lohnt, ist einfach, die beiden Schreibweisen als eine Sache zu lesen. Wenn jemand sagt, ein Netzwerk sei ein /24, stellen Sie sich 255.255.255.0 vor: die ersten drei Gruppen fest als Name des Netzwerks, die letzte Gruppe frei für seine Geräte. Jede Maskenfrage ist dieses Bild mit verschobener Trennlinie.