Login

Netzmaske verstehen: So erkennst du Netzanteil und Hostanteil einer IPv4-Adresse

Mario ·

Drei Rechner im Büro: A hat die Adresse 192.168.10.77, B hat 192.168.10.150, C hat 192.168.11.5. Liegen sie im selben Netz? Auf den ersten Blick sehen A und B ähnlich aus und C ein bisschen anders. Aber ob zwei Geräte direkt miteinander sprechen können oder einen Router brauchen, kannst du an den Adressen allein nicht sagen. Erst mit der Netzmaske lässt sich die Frage beantworten.

Im Beitrag IPv4 verstehen hast du gesehen, dass jede Adresse aus einem Netzanteil und einem Hostanteil besteht. Die Netzmaske legt fest, wo die Grenze liegt. Sie ist das Werkzeug, das du für Subnetting, CIDR und fast jede Netzwerkkonfiguration brauchst.

Was ist eine Netzmaske?

Die Netzmaske, auch Subnetzmaske genannt (englisch Subnet Mask), hat denselben Aufbau wie eine IPv4-Adresse: 32 Bit in vier Oktetten. Sie folgt einer einfachen Regel:

  • Die Bits, die in der Maske auf 1 stehen, gehören zum Netzanteil.
  • Die Bits, die auf 0 stehen, gehören zum Hostanteil.

Die Einsen stehen immer zusammenhängend vorn, danach folgen nur noch Nullen. Die bekannteste Maske lautet:

255.255.255.0
= 11111111.11111111.11111111.00000000

→ 24 Einsen (Netzanteil), 8 Nullen (Hostanteil)

Für die Adresse 192.168.10.77 mit dieser Maske heißt das: Die ersten 24 Bit (192.168.10) bezeichnen das Netz, die letzten 8 Bit (77) das Gerät.

Wo die Maske 1 hat, gehört das Bit der Adresse zum Netz, wo sie 0 hat, zum Gerät.

Welche Netzmasken gibt es?

Weil die Einsen zusammenhängend vorn stehen müssen, sind nur wenige Werte pro Oktett möglich:

Binär Dezimal Anzahl Einsen
0000000000
100000001281
110000001922
111000002243
111100002404
111110002485
111111002526
111111102547
111111112558

Diese neun Zahlen sind die einzigen Werte, die in einer Netzmaske vorkommen dürfen. Ein Oktett wie 100 (01100100) wäre ungültig, ebenso eine Maske wie 255.0.255.0, bei der die Nullen mittendrin wieder von Einsen unterbrochen werden. Prägst du dir die Reihe 128, 192, 224, 240, 248, 252, 254, 255 ein, erkennst du jede gültige Maske sofort.

Dazu gibt es eine Kurzschreibweise. Statt 255.255.255.0 schreibt man /24 und meint damit: 24 Einsen. Diese Zahl heißt Präfixlänge. Die gängigsten Beispiele:

Präfix Netzmaske Hostbits Nutzbare Hosts
/8255.0.0.02416.777.214
/16255.255.0.01665.534
/24255.255.255.08254
/25255.255.255.1287126
/26255.255.255.192662
/27255.255.255.224530
/28255.255.255.240414
/29255.255.255.24836
/30255.255.255.25222

Die Hostbits berechnest du als 32 minus Präfixlänge. Daraus ergibt sich die Zahl der nutzbaren Adressen mit 2h − 2. Die beiden abgezogenen Adressen sind die Netzadresse und die Broadcast-Adresse, wie im IPv4-Beitrag beschrieben. Die Schreibweise mit dem Schrägstrich ist Thema des Beitrags CIDR erklärt.

Die Netzadresse mit UND berechnen

Jetzt zum eigentlichen Werkzeug. Um zu erfahren, in welchem Netz eine Adresse liegt, verknüpfst du Adresse und Netzmaske bitweise mit UND. Das UND-Gatter kennst du aus den Beiträgen UND, ODER, NICHT und Logikgatter. Der Effekt: Wo die Maske 1 hat, bleibt das Bit der Adresse erhalten. Wo sie 0 hat, wird das Bit zu 0. Der Hostanteil wird also ausgeblendet, übrig bleibt die Netzadresse.

Beispiel mit /24

IP-Adresse:  192.168.10.77   = 11000000.10101000.00001010.01001101
Netzmaske:   255.255.255.0   = 11111111.11111111.11111111.00000000
UND:                           11000000.10101000.00001010.00000000
Netzadresse: 192.168.10.0

Hier ist es einfach: Wo die Maske 255 ist, bleibt das Oktett gleich, wo sie 0 ist, wird es 0. Interessant wird es, wenn die Grenze mitten in einem Oktett liegt.

Beispiel mit /26

Dieselbe Adresse, aber mit der Maske 255.255.255.192:

IP-Adresse:  192.168.10.77   = 11000000.10101000.00001010.01001101
Netzmaske:   255.255.255.192 = 11111111.11111111.11111111.11000000
UND:                           11000000.10101000.00001010.01000000
Netzadresse: 192.168.10.64

Nur das letzte Oktett ist interessant: 01001101 (77) UND 11000000 (192) ergibt 01000000, das sind 64. Die Netzadresse lautet also 192.168.10.64. Dasselbe Gerät liegt mit einer anderen Maske in einem anderen Netz. Genau das macht die Maske so wichtig.

Mit 6 Hostbits hat dieses Netz 26 − 2 = 62 nutzbare Adressen. Es reicht von 192.168.10.64 bis zur Broadcast-Adresse 192.168.10.127. Wie du die Grenzen systematisch bestimmst, zeigt der Beitrag Netzwerkadresse und Broadcast.

Die Maske behält die Netzbits und löscht die Hostbits. Übrig bleibt die Netzadresse.

Liegen zwei Geräte im selben Netz?

Jetzt lässt sich die Eingangsfrage lösen. Zwei Geräte liegen im selben Netz, wenn bei beiden die Netzadresse (Adresse UND Maske) gleich ist. Mit der Maske 255.255.255.0 geht es so:

Gerät IP-Adresse Netzadresse (Maske 255.255.255.0)
A192.168.10.77192.168.10.0
B192.168.10.150192.168.10.0
C192.168.11.5192.168.11.0

A und B liegen im selben Netz und können direkt miteinander kommunizieren. C liegt in einem anderen Netz, A und C brauchen dafür einen Router.

Und jetzt dieselben Geräte mit der Maske 255.255.255.192 (/26). Das letzte Oktett von B ist 150, binär 10010110:

B: 150 = 10010110
Maske 192 = 11000000
UND       = 10000000 = 128

→ Netzadresse von B: 192.168.10.128

A liegt jetzt im Netz 192.168.10.64, B im Netz 192.168.10.128. Mit der engeren Maske sind A und B plötzlich in verschiedenen Netzen. Die Adressen haben sich nicht verändert, nur die Maske. Sie entscheidet allein darüber.

Was ein Rechner mit dem Ergebnis macht

Jeder Rechner trifft diese Entscheidung vor jedem Paket. Er verknüpft die Ziel-IP mit seiner eigenen Maske:

  • Gehört das Ziel zum eigenen Netz, ermittelt er per ARP die MAC-Adresse des Ziels und sendet direkt.
  • Gehört es zu einem fremden Netz, sendet er das Paket an das Standardgateway. Das Zusammenspiel hast du im Beitrag MAC-Adresse und IP-Adresse gesehen.

Das Standardgateway muss deshalb im eigenen Netz liegen. Ein Rechner mit der Adresse 192.168.10.77 und der Maske 255.255.255.0 kann ein Gateway 192.168.11.1 nicht erreichen, weil es nach seiner Rechnung in einem anderen Netz liegt. Auf diese Konfiguration stößt man im Alltag öfter, als man denkt.

Vor jedem Paket prüft der Rechner mit der Netzmaske, ob das Ziel im eigenen Netz liegt.

Praxisbeispiel: Gäste-WLAN in einem eigenen Netz

In der kleinen Firma arbeiten alle internen Geräte im Netz 192.168.10.0 mit der Maske 255.255.255.0. Mit 254 nutzbaren Adressen ist das mehr als genug, wie schon der Adressplan gezeigt hat. Der Administrator will das Gäste-WLAN jetzt in ein eigenes Netz verlegen, 192.168.20.0 mit derselben Maske. Ein Gast-Smartphone mit 192.168.20.15 und der Dateiserver mit 192.168.10.10 liegen dann in verschiedenen Netzen:

192.168.20.15 UND 255.255.255.0 = 192.168.20.0
192.168.10.10 UND 255.255.255.0 = 192.168.10.0

Weil die Netzadressen verschieden sind, geht jede Verbindung zwischen Gast und Server über den Router. An dieser Stelle setzt die Firewall an, und der Administrator kann per Regel festlegen, dass Gäste ins Internet dürfen, nicht aber an interne Server. Dieses Prinzip, Netze zu trennen und den Verkehr dazwischen zu kontrollieren, haben wir im Beitrag Switch, Router, Access Point und Firewall vorbereitet.

Die Netzmaske am eigenen Rechner ansehen und prüfen

Unter Windows steht die Maske in der Ausgabe von ipconfig hinter „Subnetzmaske“. In der PowerShell zeigt dir dieser Befehl die Präfixlänge:

Get-NetIPAddress -AddressFamily IPv4

Die Spalte PrefixLength entspricht der Zahl hinter dem Schrägstrich. Unter Linux liefert dieser Befehl eine kompakte Übersicht, in der die Präfixlänge direkt hinter der Adresse steht:

ip -br addr

Wenn du Ergebnisse prüfen willst, hilft dir Python. Das Modul ipaddress kennt die Regeln der Netzmaske und rechnet sie für dich:

import ipaddress

ip = ipaddress.ip_interface("192.168.10.77/26")
print(ip.network)    # 192.168.10.64/26
print(ip.netmask)    # 255.255.255.192

b = ipaddress.ip_address("192.168.10.150")
print(b in ip.network)    # False

Das Beispiel gibt Netzadresse und Maske aus und prüft, ob B im selben Netz liegt wie A. Die Antwort ist False, passend zur Rechnung oben. Für die Prüfung und für das Verständnis bleibt die Handrechnung wichtig, das Skript dient zur Kontrolle.

Typische Fehler

  • Die Netzmaske aus dem ersten Oktett „erraten“. Die Klasse einer Adresse nennt höchstens eine Standardmaske. Die tatsächliche Maske entscheidet.
  • Dezimal statt binär rechnen. Sobald die Grenze mitten in einem Oktett liegt, kommst du ohne Binärdarstellung nicht weiter.
  • Ungültige Maske verwenden. Werte wie 255.255.255.100 oder 255.0.255.0 gibt es nicht. Nach den Einsen folgen nur Nullen.
  • Gateway außerhalb des eigenen Netzes eintragen. Dann erreicht der Rechner nichts außerhalb seines Netzes.
  • /24 mit 24 Hosts verwechseln. Die Zahl hinter dem Schrägstrich sind Netzbits, nicht Geräte. Ein /24-Netz bietet 254 nutzbare Adressen.
  • Abzug vergessen. Von 2h gehen die Netzadresse und die Broadcast-Adresse ab.
  • Unterschiedliche Masken im selben Netz. Wenn zwei Geräte im selben Segment verschiedene Masken haben, entscheiden sie unterschiedlich, wer „im eigenen Netz“ liegt. Das führt zu Fehlern, bei denen eine Richtung funktioniert und die andere nicht.

Zum Üben

  1. Wandle die Netzmaske 255.255.240.0 in Binär um und gib die Präfixlänge an.
  2. Welche Netzmaske gehört zu /27?
  3. Berechne die Netzadresse von 192.168.1.130 mit der Maske 255.255.255.0.
  4. Berechne die Netzadresse von 10.1.2.3 mit der Maske 255.255.0.0.
  5. Berechne die Netzadresse von 192.168.10.200 mit der Maske 255.255.255.192.
  6. Liegen 172.16.5.20 und 172.16.9.20 im selben Netz, wenn die Maske a) 255.255.255.0 oder b) 255.255.240.0 lautet?
  7. Wie viele nutzbare Hostadressen hat ein /28-Netz?
  8. Ist die Maske 255.255.255.100 gültig?

Lösungen:

(1) 255.255.240.0 = 11111111.11111111.11110000.00000000
    → 20 Einsen, also /20

(2) /27 = 24 + 3 Einsen im letzten Oktett = 11100000 = 224
    → 255.255.255.224

(3) 192.168.1.130 UND 255.255.255.0 → 192.168.1.0

(4) 10.1.2.3 UND 255.255.0.0 → 10.1.0.0

(5) 200 = 11001000, 192 = 11000000 → UND = 11000000 = 192
    → 192.168.10.192

(6) a) 172.16.5.0 und 172.16.9.0 → verschiedene Netze
    b) 5 = 00000101, 9 = 00001001, Maske 240 = 11110000
       beide UND = 00000000 → 172.16.0.0 für beide → selbes Netz

(7) 28 Netzbits → 4 Hostbits → 2^4 − 2 = 14

(8) Nein. 100 = 01100100 ist keine Folge aus Einsen gefolgt von Nullen

Das solltest du dir merken

  • Die Netzmaske legt fest, welcher Teil der IPv4-Adresse das Netz und welcher das Gerät bezeichnet. Einsen stehen für das Netz, Nullen für das Gerät.
  • Die Einsen stehen immer zusammenhängend vorn. Gültige Werte pro Oktett: 0, 128, 192, 224, 240, 248, 252, 254, 255.
  • Kurzschreibweise: /n bedeutet n Einsen. Die Zahl der Hostbits ist 32 − n, die der nutzbaren Hosts 2h − 2.
  • Netzadresse = IP-Adresse UND Netzmaske, bitweise berechnet.
  • Zwei Geräte liegen im selben Netz, wenn ihre Netzadressen gleich sind. Sonst brauchen sie einen Router.
  • Das Standardgateway muss im eigenen Netz liegen.

Eine wichtige Unterscheidung steht noch aus: Welche Adressen sind nur für interne Netze gedacht, und welche gelten im Internet? Das klärt der nächste Beitrag: Private und öffentliche IP-Adressen.

Weiterlesen