CIDR und Subnetting erklärt: Wie man 10.0.0.0/24 ohne Raten liest

Jeder Entwickler begegnet irgendwann einer Zeile wie allow from 10.0.0.0/24 in einer Firewall-Regel, einer VPC-Konsole, die nach einem CIDR-Block fragt, oder einer Security Group, die Datenverkehr von einer Adresse ablehnt, die „aussieht, als müsste sie im Bereich liegen“. Subnetting ist eines dieser Themen, die man für eine Zertifizierungsprüfung leicht auswendig lernt und einen Monat später leicht vergisst — weil die meisten Erklärungen mit Binärarithmetik beginnen statt mit der zugrunde liegenden Idee. Diese Anleitung baut zuerst diese Idee auf: was die Slash-Zahl wirklich zählt, wie man über Netzwerkgrößen im Kopf nachdenkt und wie man ein Netzwerk ohne Taschenrechner aufteilt (obwohl ein guter hilft).

Eine IP-Adresse sind 32 Bits, und der Slash zählt die festen

Eine IPv4-Adresse wie 192.168.1.10 sieht wie vier Zahlen aus, ist aber wirklich ein 32-Bit-Wert; jedes der vier Oktette sind 8 Bits, 0–255. Ein Netzwerk ist ein Adressbereich, der ein gemeinsames Präfix von Bits teilt. Die CIDR-Notation — Classless Inter-Domain Routing — schreibt das als Adresse gefolgt von /n, wobei n angibt, wie viele Bits von links gezählt fest sind. Die übrigen 32 − n Bits dürfen variieren und definieren die Hosts im Netzwerk.

10.0.0.0/24 bedeutet also: Die ersten 24 Bits — 10.0.0 — sind fest, und die letzten 8 Bits variieren. Das sind 2⁸ = 256 Adressen, von 10.0.0.0 bis 10.0.0.255. Sehen Sie den Slash erst als „Anzahl fester Bits“, ist alles Weitere beim Subnetting Arithmetik mit einer Zahl.

Ein paar Referenzpunkte sind es wert, gemerkt zu werden:

• /32 — genau eine Adresse (eine Host-Route)
• /24 — 256 Adressen, die klassische „C-Klasse“-Größe
• /16 — 65.536 Adressen, die alte „B-Klasse“
• /8 — 16,7 Millionen Adressen, die alte „A-Klasse“

Die Subnetzmaske ist dieselbe Zahl in anderem Kostüm

Ältere Dokumentation drückt die Präfixlänge als Subnetzmaske aus: ein 32-Bit-Wert, dessen erste n Bits 1 und der Rest 0 sind, in derselben Punktnotation wie eine IP geschrieben. Ein /24 hat 24 Einsbits, also 255.255.255.0. Ein /26 sind 26 Einsbits: 255.255.255.192.

Die Maske existiert für eine Operation: Ver-UND-en Sie sie bitweise mit einer Adresse, und Sie erhalten die Netzwerkadresse — das feste Präfix mit allen auf null gesetzten Host-Bits. 192.168.1.73 AND 255.255.255.192 = 192.168.1.64, diese Adresse liegt also im Netz 192.168.1.64/26. Router tun genau das, um zu entscheiden, ob ein Ziel lokal ist oder weitergeleitet werden muss. Wenn ein Subnetz-Rechner Ihnen Netzwerkadresse, Broadcast-Adresse und Hostbereich für einen CIDR-Block zeigt, ist diese UND-Operation, was darunter passiert.

Netzwerk- und Broadcast-Adresse: Warum Sie zwei Hosts verlieren

Innerhalb jedes Subnetzes sind zwei Adressen reserviert: die Netzwerkadresse (alle Host-Bits 0) identifiziert das Netzwerk selbst, und die Broadcast-Adresse (alle Host-Bits 1) adressiert alle Hosts auf einmal. Keine von beiden kann einer Maschine zugewiesen werden.

Deshalb lautet die Nutzhost-Formel 2^(32−n) − 2. Ein /24 hat 256 Adressen, aber 254 nutzbare Hosts. Ein /30 — üblich für Punkt-zu-Punkt-Verbindungen zwischen zwei Routern — hat 4 Adressen und genau 2 nutzbare Hosts, was genau das ist, was eine Verbindung zwischen zwei Endpunkten braucht. (Weiter getrieben: /31 ist ein Sonderfall, standardisiert für Punkt-zu-Punkt-Verbindungen, bei denen beide Adressen nutzbar sind, und /32 benennt einen einzelnen Host.)

Jedes /n im Kopf lesen

Sie brauchen für den Alltag keine binäre Langdivision — Sie brauchen eine Beobachtung: Nur das Oktett, in dem die Grenze fällt, ist interessant. Bei einem /24 sitzt die Grenze genau auf dem dritten Oktett, es passiert also nichts Interessantes. Bei einem /26 fällt die Grenze 2 Bits ins vierte Oktett und lässt 6 Host-Bits übrig: 2⁶ = 64 Adressen pro Subnetz. Innerhalb von 10.0.0.0/24 beginnen die /26-Subnetze also bei .0, .64, .128, .192 — die Blockgröße wiederholt sich durch das Oktett.

Das allgemeine Rezept für Präfixe zwischen /24 und /32:

1. Host-Bits = 32 − n. Für /27 sind das 5.
2. Blockgröße = 2^(Host-Bits). Für /27 sind das 32.
3. Subnetze beginnen bei Vielfachen der Blockgröße im letzten Oktett: .0, .32, .64, …
4. Nutzbare Hosts pro Subnetz = Blockgröße − 2.

Für Präfixe unter /24 gilt dieselbe Logik für das dritte Oktett: Ein /20 lässt 4 Host-Bits im dritten Oktett, Blockgröße 16, also deckt 10.0.0.0/20 10.0.0.0 bis 10.0.15.255 ab. Wollen Sie die Kopfrechnung mitten im Vorfall lieber überspringen, fügen Sie das CIDR in den Subnetz-Rechner ein und lesen Sie den Bereich direkt ab.

Ein Netzwerk aufteilen: Durchgerechnetes Beispiel

Sagen wir, Ihre Cloud-VPC gibt Ihnen 10.0.0.0/16, und Sie wollen vier gleich große Subnetze — Produktion, Staging, Entwicklung, Shared Services. Jede Halbierung kostet ein Bit, vier Subnetze brauchen also 2 zusätzliche Bits: /18. Die vier Blöcke sind:

• 10.0.0.0/18 → 10.0.0.0 – 10.0.63.255
• 10.0.64.0/18 → 10.0.64.0 – 10.0.127.255
• 10.0.128.0/18 → 10.0.128.0 – 10.0.191.255
• 10.0.192.0/18 → 10.0.192.0 – 10.0.255.255

Jedes fasst 16.384 Adressen. Die Regel, die alle Subnetzpläne zum Funktionieren bringt: Jedes Subnetz hat eine Zweierpotenz als Größe, und seine Startadresse muss ein Vielfaches seiner Größe sein. Man kann keinen 500-Adressen-Block aus beliebigem Raum herausschneiden — man rundet auf 512 auf und richtet ihn aus. Deshalb sind echte Zuteilungen auf dem Papier verschwenderisch: Planen Sie für Wachstum, denn ein Netzwerk später umzunummerieren ist weit schmerzhafter, als jetzt Platz zu reservieren.

Private Bereiche und warum 10.0.0.0/8 Ihnen überall folgt

RFC 1918 reserviert drei Bereiche, die nie im öffentlichen Internet geroutet werden und die jeder intern frei nutzen darf:

• 10.0.0.0/8 — 16,7 Millionen Adressen; der Favorit für Cloud-VPCs und große Organisationen
• 172.16.0.0/12 — etwa 1 Million Adressen (172.16.x.x bis 172.31.x.x — beachten Sie: ein /12, kein /16)
• 192.168.0.0/16 — 65.536 Adressen; was Ihr Heimrouter ausgibt

Weil diese Bereiche sich über jede Organisation der Welt überschneiden, folgen zwei häufige Produktions-Kopfschmerzen. Erstens VPN- und VPC-Peering-Konflikte: Nutzt Ihr Büro 10.0.0.0/16 und beansprucht die VPC, mit der Sie peeren, ebenfalls 10.0.0.0/16, wird das Routing mehrdeutig, und jemand muss umnummerieren oder NAT-Tricks anwenden. Zweitens Container-Netzwerke: Docker nutzt standardmäßig 172.17.0.0/16, und Kubernetes-Cluster schneiden eigene Bereiche zu — Kollisionen mit Firmen-VPNs sind eine klassische Ursache für „zu Hause geht’s, im Büro nicht“. Wenn Konnektivität mysteriös nur für Menschen in einem bestimmten Netzwerk scheitert, prüfen Sie, ob beide Seiten denselben privaten Bereich besetzen. Das IP-Lookup-Tool löst private Bereiche nicht auf (sie haben keinen öffentlichen Eigentümer — das ist der Punkt), aber für jede öffentliche Adresse zeigt es, wem der Block wirklich gehört, mit dem Sie es zu tun haben.

CIDR in freier Wildbahn: Firewall-Regeln und ACLs

Die meisten Orte, an denen Sie CIDR tatsächlich schreiben, sind Allow/Deny-Listen: Security Groups, nginx-allow-Direktiven, Kubernetes NetworkPolicies, API-Gateways. Zwei Gewohnheiten verhindern die meisten Fehler:

• So spezifisch wie die Absicht sein. 0.0.0.0/0 bedeutet „das ganze Internet“ (null feste Bits — alles variiert) und ist fast nie die richtige Antwort für eine Allow-Regel. Einem Büro ein /24 zu gewähren ist zugleich sicherer und selbstdokumentierend.
• Denken Sie daran: Ein CIDR ist ein Bereich, kein Muster. 192.168.1.0/24 bedeutet nicht zufällig „beginnt mit 192.168.1“ — es bedeutet genau die 256 Adressen, deren erste 24 Bits übereinstimmen. Erlauben Sie 192.168.0.0/16 in der Annahme, es sei „die 192.168-Familie“, haben Sie korrekt 65.536 Adressen erlaubt; schreiben Sie 192.168.1.0/16, normalisieren viele Systeme es still zu 192.168.0.0/16 — oder lehnen es ab —, weil die Host-Bits in der Netzwerkadresse null sein sollten.

Passt eine Regel nicht und Sie sehen nicht, warum, lassen Sie sowohl die Adresse als auch das CIDR durch einen Subnetz-Rechner laufen und vergleichen Sie die Bereichsgrenzen mit den Bits Ihrer Adresse. Neun von zehn Mal liegt die Adresse knapp außerhalb des Blocks — oder der Block ist ein Bit breiter oder enger, als Sie annahmen.

Kurzreferenz

• /n = Anzahl fester Bits; Adressen im Netzwerk = 2^(32−n), nutzbare Hosts = das minus 2.
• /24 = 256 Adressen, /16 = 65.536, /8 = 16,7 Millionen. Jede +1 am Präfix halbiert das Netzwerk.
• Subnetzmaske und CIDR sind dasselbe: Maske 255.255.255.0 ≡ /24.
• Netzwerkadresse UND Maske ergibt das Netzwerk; Broadcast ist alle Host-Bits auf 1.
• Subnetze müssen Zweierpotenz-groß und auf ein Vielfaches ihrer Größe ausgerichtet sein.
• Private Bereiche: 10.0.0.0/8, 172.16.0.0/12, 192.168.0.0/16. 0.0.0.0/0 passt auf alles.