Subnetting verstehen: Netze in Teilnetze aufteilen

Die kleine Firma aus den letzten Beiträgen ist gewachsen. Aus zehn Arbeitsplätzen sind achtzig geworden, dazu kommen Server, Drucker, Kameras und Telefone. Alles hängt im selben Netz 192.168.10.0/24. Es funktioniert, aber der Administrator sieht Probleme kommen: Die Kameras sollen nicht auf den Dateiserver zugreifen dürfen, die Druckerverwaltung soll von der Finanzabteilung getrennt sein, und das Netz ist zu etwa zwei Dritteln gefüllt. Die Lösung heißt Subnetting: ein großes Netz wird in mehrere kleinere Teilnetze aufgeteilt.

Subnetting gilt als das Thema, vor dem Einsteiger den größten Respekt haben. Dabei besteht es im Kern aus Dingen, die du schon kannst: Binärzahlen, Netzmaske und UND-Verknüpfung. In diesem Beitrag lernst du das Prinzip. Das schrittweise Durchrechnen übst du später im Beitrag Subnetting Schritt für Schritt.

Warum teilt man Netze auf?

Broadcasts begrenzen. Manche Nachrichten, etwa ARP-Anfragen und DHCP-Suchen, gehen an alle Geräte im Netz. Je größer das Netz, desto mehr Geräte müssen jedes Mal zuhören. Ein Subnetz bildet eine eigene Broadcast-Domäne und hält diesen Verkehr lokal.
Sicherheit. Zwischen Teilnetzen muss der Verkehr über einen Router. Dort kann eine Firewall Regeln setzen: Kameras dürfen nicht an den Server, Gäste nur ins Internet.
Ordnung. Abteilungen, Gebäude, Etagen oder Gerätearten bekommen eigene Netze. Das macht die Struktur lesbar und die Fehlersuche leichter, denn schon an der Adresse siehst du, wohin ein Gerät gehört.
Passende Größe. Statt jedem Standort ein riesiges Netz zu geben, schneidest du Adressbereiche so zu, wie sie gebraucht werden.
Fehler eingrenzen. Ein Problem in einem Teilnetz, etwa eine Schleife oder ein defekter Switch, bleibt dort und legt nicht alles lahm.

Das Prinzip: Hostbits ausleihen

Eine Adresse besteht aus Netzanteil und Hostanteil, die Netzmaske legt die Grenze fest. Subnetting verschiebt diese Grenze nach rechts. Du leihst dir Bits aus dem Hostanteil und machst sie zu zusätzlichen Netzbits, den Subnetzbits. Mit diesen Bits unterscheidest du die Teilnetze.

Als Ausgangspunkt nehmen wir 192.168.10.0/24. Das Netz hat 24 Netzbits und 8 Hostbits.

Vorher: 11000000.10101000.00001010.00000000
                                 |------- 8 Hostbits -------|

Nachher (2 Bit geliehen):
        11000000.10101000.00001010.SS000000
                                   ↑↑
                          Subnetzbits (2 Bit)

Wenn du n Bits ausleihst, gibt es 2n verschiedene Kombinationen der Subnetzbits und damit 2n Subnetze. In jedem Subnetz bleiben h = 8 − n Hostbits übrig, und damit 2h − 2 nutzbare Adressen.

Geliehene Bits (n)	Neues Präfix	Neue Netzmaske	Subnetze (2n)	Hostbits (h)	Hosts je Subnetz	Blockgröße
1	/25	255.255.255.128	2	7	126	128
2	/26	255.255.255.192	4	6	62	64
3	/27	255.255.255.224	8	5	30	32
4	/28	255.255.255.240	16	4	14	16
5	/29	255.255.255.248	32	3	6	8
6	/30	255.255.255.252	64	2	2	4

Die Blockgröße ist die Zahl der Adressen pro Subnetz, einschließlich Netz- und Broadcast-Adresse. Sie ist gleichzeitig die Schrittweite, mit der die Subnetze aufeinander folgen. Du kannst sie mit 256 minus dem Maskenwert im letzten Oktett berechnen: Bei der Maske 192 ist das 256 − 192 = 64.

Zwei geliehene Bits teilen das /24-Netz in vier gleich große Subnetze.

Beispiel: Ein /24-Netz in vier Subnetze teilen

Der Administrator will das Netz 192.168.10.0/24 in vier gleich große Teilnetze aufteilen. Er leiht sich n = 2 Bit, das ergibt 22 = 4 Subnetze. Das neue Präfix ist /24 + 2 = /26, die Maske 255.255.255.192, und jedes Subnetz hat 26 − 2 = 62 nutzbare Adressen.

Die vier Subnetze folgen im Abstand der Blockgröße 64 aufeinander:

Subnetz	Netzadresse	Erste Hostadresse	Letzte Hostadresse	Broadcast
1	192.168.10.0/26	192.168.10.1	192.168.10.62	192.168.10.63
2	192.168.10.64/26	192.168.10.65	192.168.10.126	192.168.10.127
3	192.168.10.128/26	192.168.10.129	192.168.10.190	192.168.10.191
4	192.168.10.192/26	192.168.10.193	192.168.10.254	192.168.10.255

Die Netzadresse ist die erste Adresse jedes Blocks, die Broadcast-Adresse die letzte. Dazwischen liegen die nutzbaren Hostadressen. Wie du diese Grenzen sauber herleitest, behandelt der Beitrag Netzwerkadresse und Broadcast.

In welchem Subnetz liegt eine Adresse?

Die Rechnung kennst du aus dem Beitrag Netzmaske verstehen. Wir nehmen 192.168.10.77. Das letzte Oktett ist 77, binär 01001101. Die beiden Subnetzbits sind die vorderen zwei Bit:

77 = 01|001101
      ↑↑
   Subnetzbits = 01 → Subnetz 2 (Netzadresse .64)

Dasselbe Ergebnis liefert die UND-Verknüpfung mit der Maske, und es passt zur Tabelle: 77 liegt zwischen 64 und 127. Eine Abkürzung für den Alltag: Du suchst das größte Vielfache der Blockgröße, das nicht über der Adresse liegt. Bei Blockgröße 64 sind das 0, 64, 128 und 192. Für 150 ist es die 128, das Subnetz ist also 192.168.10.128/26.

Die Subnetzbits zeigen, in welchem Teilnetz eine Adresse liegt.

Wie viele Bits musst du ausleihen?

Im Alltag startest du mit einer Anforderung. Dazu gibt es zwei Fragen, und beide führen zu einem Ergebnis:

Wie viele Subnetze brauche ich? Suche das kleinste n, bei dem 2n mindestens so groß ist wie die Zahl der Subnetze.
Wie viele Hosts braucht jedes Subnetz? Suche das kleinste h, bei dem 2h − 2 mindestens so groß ist wie die Zahl der Geräte.

Beispiel 1: Du brauchst fünf Subnetze. Mit n = 2 gibt es nur 4, mit n = 3 gibt es 8. Also leihst du 3 Bit und bekommst /27 mit 30 Hosts je Subnetz.

Beispiel 2: Jedes Subnetz soll 40 Geräte aufnehmen. Mit h = 5 gibt es 25 − 2 = 30, das reicht nicht. Mit h = 6 gibt es 62. Du brauchst also 6 Hostbits, das Präfix lautet 32 − 6 = /26.

Beide Anforderungen musst du gegeneinander abwägen. Mehr Subnetze bedeuten weniger Hosts je Subnetz und umgekehrt. Plane außerdem Reserve ein, denn Netze wachsen.

Subnetting kostet Adressen

Ein wichtiger Punkt wird oft übersehen: Aufteilen macht keine zusätzlichen Adressen. Es verschwendet sogar welche, denn jedes Subnetz braucht eine eigene Netz- und Broadcast-Adresse.

Ungeteiltes /24-Netz:      2^8 − 2   = 254 nutzbare Adressen
Vier /26-Subnetze:        4 × (2^6 − 2) = 4 × 62 = 248 nutzbare Adressen

Verlust: 254 − 248 = 6 Adressen

Je mehr Subnetze, desto mehr Adressen gehen für Netz- und Broadcast-Adressen verloren. Das ist der Preis für die Ordnung. Bei privaten Adressen spielt das meist keine Rolle, bei knappen öffentlichen Adressen schon.

Wie Geräte zwischen Subnetzen kommunizieren

Ein Subnetz ist ein eigenes Netz. Das heißt: Geräte in verschiedenen Subnetzen können sich nicht direkt finden, auch wenn sie am selben Switch hängen. Der Verkehr muss über einen Router, der in jedem Subnetz eine Adresse hat und als dessen Standardgateway dient. Üblich ist, die erste nutzbare Adresse des Subnetzes dafür zu reservieren:

Subnetz	Gateway (Router-Schnittstelle)
192.168.10.0/26	192.168.10.1
192.168.10.64/26	192.168.10.65
192.168.10.128/26	192.168.10.129
192.168.10.192/26	192.168.10.193

Auf dem Switch trennst du die Subnetze üblicherweise durch VLANs, und der Router oder ein Layer-3-Switch verbindet sie wieder. Das zeigt der Beitrag VLAN verstehen. Zwischen den Subnetzen kann eine Firewall den Verkehr nach Regeln filtern, wie im Beitrag Switch, Router, Access Point und Firewall beschrieben.

Praxisbeispiel: Die Firma teilt ihr Netz auf

Der Administrator teilt das Netz 192.168.10.0/24 in vier /26-Subnetze auf:

Subnetz	Zweck	Gateway	Bedarf heute
192.168.10.0/26	Netzwerkgeräte und Verwaltung	.1	etwa 15 Geräte
192.168.10.64/26	Arbeitsplätze	.65	etwa 50 Geräte
192.168.10.128/26	Server	.129	etwa 10 Geräte
192.168.10.192/26	Drucker, Kameras, Telefone	.193	etwa 30 Geräte

Der Zugriff der Kameras und Drucker auf den Server lässt sich jetzt per Firewall-Regel am Router sperren. Und die Broadcasts der Arbeitsplätze erreichen die Server und Kameras nicht mehr.

Ein Schönheitsfehler fällt auf: Das Server-Subnetz hat 62 Adressen, aber nur 10 Geräte. Ein großer Teil liegt brach, während das Arbeitsplatz-Subnetz mit 50 von 62 Adressen schon fast voll ist. Gleich große Subnetze sind einfach zu berechnen, aber nicht immer passend. Wer jedem Bereich genau die Größe gibt, die er braucht, nutzt Subnetze unterschiedlicher Länge. Das Verfahren heißt VLSM (Variable Length Subnet Mask) und ist Teil des Beitrags Subnetting Schritt für Schritt.

Der Router verbindet die Subnetze, an dieser Stelle greifen Firewall-Regeln.

Mit Python nachprüfen

Ergebnisse von Hand zu berechnen, ist wichtig. Zur Kontrolle hilft Python. Der folgende Code teilt das /24-Netz in /26-Subnetze und gibt für jedes die Zahl der nutzbaren Adressen aus:

import ipaddress

netz = ipaddress.ip_network("192.168.10.0/24")
for sub in netz.subnets(new_prefix=26):
    print(sub, sub.num_addresses - 2)

Die Ausgabe lautet 192.168.10.0/26, .64/26, .128/26 und .192/26, jeweils mit 62. Das stimmt mit der Tabelle oben überein. Ändere new_prefix auf 27, siehst du acht Subnetze mit je 30 Adressen.

Typische Fehler

Netz- und Broadcast-Adresse mitzählen. Nutzbar sind 2h − 2 Adressen.
Subnetzgrenzen schätzen. Die Grenzen liegen immer bei Vielfachen der Blockgröße. In einem /26-Netz beginnt kein Subnetz bei .50.
Zu knapp planen. Ein Subnetz, das heute genau passt, ist morgen zu klein. Lass Reserve, in der Praxis oft 25 bis 50 Prozent.
Gateway außerhalb des Subnetzes eintragen. Das Gateway muss im jeweiligen Subnetz liegen.
Subnetze überlappen lassen. Zwei Teilnetze dürfen sich nie Adressen teilen.
„Subnetting schafft mehr Adressen.“ Das Gegenteil ist der Fall. Jedes Subnetz kostet zwei Adressen.
Subnetze mit VLANs gleichsetzen. Ein VLAN trennt auf Schicht 2, ein Subnetz auf Schicht 3. Sie werden meist gemeinsam verwendet, sind aber nicht dasselbe.

Zum Üben

Du leihst aus einem /24-Netz 3 Bit aus. Wie viele Subnetze und wie viele Hosts je Subnetz entstehen?
Du brauchst vier gleich große Subnetze aus einem /24-Netz. Wie lautet das neue Präfix, und welche Netzmaske gehört dazu?
Du brauchst sechs Subnetze aus einem /24-Netz. Wie viele Bits leihst du aus, welches Präfix ergibt sich?
Jedes Subnetz soll 40 Geräte aufnehmen. Welches Präfix brauchst du?
In welchem /26-Subnetz von 192.168.10.0/24 liegt die Adresse 192.168.10.150?
Wie viele nutzbare Adressen gehen verloren, wenn du ein /24-Netz in acht /27-Subnetze teilst?
Warum braucht der Verkehr zwischen zwei Subnetzen einen Router?
Wie lautet das Präfix, wenn du 192.168.10.0/24 in 16 gleich große Subnetze teilst? Wie viele Hosts hat jedes?

Lösungen: (1) 23 = 8 Subnetze, Hostbits 8 − 3 = 5, also 25 − 2 = 30 Hosts. (2) 22 = 4 Subnetze, Präfix /26, Maske 255.255.255.192. (3) 22 = 4 reicht nicht, 23 = 8 reicht. Du leihst 3 Bit, Präfix /27. (4) h = 6 (62 Hosts), Präfix 32 − 6 = /26. (5) Blockgröße 64, das größte Vielfache unter 150 ist 128. Also 192.168.10.128/26. (6) Ungeteilt: 254. Geteilt: 8 × 30 = 240. Es gehen 14 Adressen verloren. (7) Jedes Subnetz ist ein eigenes Netz. Geräte können nur Ziele im eigenen Netz direkt ansprechen, alles andere schicken sie an das Gateway, das ist der Router. (8) 16 = 24, du leihst 4 Bit, Präfix /28, 24 − 2 = 14 Hosts je Subnetz.

Das solltest du dir merken

Subnetting teilt ein Netz in kleinere Netze, um Broadcasts zu begrenzen, die Sicherheit zu verbessern und Ordnung zu schaffen.
Dazu leihst du Bits aus dem Hostanteil und machst sie zu Subnetzbits.
Bei n geliehenen Bits entstehen 2n Subnetze. Jedes hat h = Hostbits − n und 2h − 2 nutzbare Adressen.
Die Blockgröße ist 256 minus Maskenwert im betroffenen Oktett. Subnetze beginnen bei Vielfachen der Blockgröße.
Jedes Subnetz kostet zwei Adressen. Verkehr zwischen Subnetzen läuft über einen Router.
Plane Reserve für Wachstum ein.

Die Schreibweise mit dem Schrägstrich, die dir in den Tabellen schon begegnet ist, hat einen eigenen Namen und eine eigene Logik. Mehr dazu im nächsten Beitrag: CIDR erklärt.

Subnetting verstehen: Warum und wie du ein Netz in Teilnetze aufteilst