Subnetze im Kopf ausrechnen, sicher und nachprüfbar

Die Tabelle, die du für jede Rechnung brauchst

Fast jede Subnetzaufgabe lässt sich mit einer einzigen Zeile dieser Tabelle lösen. Die Spalte Blockgröße ist die wichtigste, denn aus ihr folgen Netzadresse und Broadcast. Die Hostzahl gilt für das ganze Präfix, auch wenn die Grenze im dritten oder zweiten Oktett liegt.

Wer die Werte für das vierte Oktett auswendig kann, kennt automatisch auch die für das dritte: /20 im dritten Oktett verhält sich wie /28 im vierten, die Blockgröße ist in beiden Fällen 16. Der Unterschied liegt nur in der Hostzahl, weil beim /20 noch die acht Bits des vierten Oktetts dazukommen.

Die Blockgröße-Methode als Rechenweg im Kopf

Der Rechenweg hat immer vier Schritte. Erstens: Bestimme das Oktett, in dem die Präfixlänge endet. Bis /8 ist es das erste, bis /16 das zweite, bis /24 das dritte, darüber das vierte. Zweitens: Ziehe den Maskenwert dieses Oktetts von 256 ab, das ist die Blockgröße. Drittens: Suche im selben Oktett der Adresse das größte Vielfache der Blockgröße, das nicht größer ist als der Adresswert. Viertens: Addiere die Blockgröße, ziehe eins ab und setze alle Oktette rechts davon auf 255.

Der dritte Schritt ist der, bei dem es hakt. Bei 77 und Blockgröße 32 zählst du 0, 32, 64, 96 und hörst bei 64 auf, weil 96 schon zu groß ist. Bei Blockgröße 16 und Wert 45 zählst du 0, 16, 32, 48 und nimmst 32. Wer die Division beherrscht, rechnet ganzzahlig: 77 geteilt durch 32 ist 2 mit Rest, und 2 mal 32 ergibt 64.

Für die binäre Gegenprobe schreibst du nur das relevante Oktett aus. Die Netzbits übernimmst du, die Hostbits setzt du für die Netzadresse auf null und für den Broadcast auf eins. Das kostet zehn Sekunden und deckt fast jeden Fehler beim Abzählen auf.

1. 1

   Oktett bestimmen

   Die Präfixlänge sagt, wo die Grenze liegt: /27 endet im vierten Oktett, /20 im dritten, /12 im zweiten.

2. 2

   Blockgröße rechnen

   Du ziehst den Maskenwert dieses Oktetts von 256 ab und erhältst 32 bei /27, 16 bei /20 und 16 bei /12.

3. 3

   Netzadresse suchen

   Die Netzadresse ist das größte Vielfache der Blockgröße, das nicht über dem Adresswert liegt. Alle Oktette rechts davon stehen auf 0.

4. 4

   Broadcast ableiten

   Der Broadcast ist die Netzadresse plus Blockgröße minus eins im Rechenoktett. Alle Oktette rechts davon stehen auf 255.

Drei Beispiele, von einfach bis zur Oktettgrenze

Beispiel 1: 192.168.10.130/26. Die Maske ist 255.255.255.192, die Blockgröße 256 minus 192 gleich 64. Die Netze beginnen bei 0, 64, 128 und 192. 130 liegt zwischen 128 und 192, das Netz ist also 192.168.10.128, der Broadcast 192.168.10.191. Die Hosts reichen von .129 bis .190, sechs Hostbits ergeben 2 hoch 6 minus 2 gleich 62 Adressen.

Beispiel 2: 10.20.30.77/27. Maske 255.255.255.224, Blockgröße 32, Netze bei 0, 32, 64, 96 und so weiter. 77 fällt in den Block ab 64. Netz 10.20.30.64, Broadcast 10.20.30.95, Hosts .65 bis .94, also 30 Stück. Dieses Beispiel ist die typische Prüfungsaufgabe, weil die Adresse nicht in der Nähe einer runden Zahl liegt.

Beispiel 3: 172.16.45.200/20. Die Grenze liegt jetzt im dritten Oktett. Die Maske ist 255.255.240.0, die Blockgröße im dritten Oktett 16. Die Netze beginnen bei 0, 16, 32 und 48, 45 liegt im Block ab 32. Netz 172.16.32.0, Broadcast 172.16.47.255, weil das vierte Oktett im Broadcast vollständig auf 255 steht. Erster Host 172.16.32.1, letzter Host 172.16.47.254. Zwölf Hostbits ergeben 2 hoch 12 minus 2 gleich 4.094 Adressen.

Das dritte Beispiel zeigt den häufigsten Denkfehler: Wer im vierten Oktett weiterrechnet, landet bei 172.16.45.192 als Netzadresse, und das ist bei einem /20 einfach ein gewöhnlicher Host. Bevor du rechnest, entscheidet die Präfixlänge über das Oktett.

Sonderfälle /31 und /32

Ein /30 auf einer Punkt-zu-Punkt-Strecke verbraucht vier Adressen für zwei Geräte. RFC 3021 erlaubt deshalb 31-Bit-Präfixe auf Punkt-zu-Punkt-Verbindungen. Die beiden Adressen, die ein /31 enthält, gelten dort als Host-Adressen, nicht als Netz und Broadcast. Ein gerichteter Broadcast an das Teilnetz ist damit nicht mehr möglich, für Broadcast-Verkehr dient auf solchen Strecken nur noch 255.255.255.255. Das RFC weist darauf hin, dass beide Seiten /31 unterstützen müssen, sonst funktioniert die Verbindung womöglich nicht.

Auf Cisco IOS und IOS XE konfigurierst du /31 mit der Maske 255.255.255.254. Auf Ethernet-Interfaces erscheint dabei ein Warnhinweis, dass die /31-Maske auf Nicht-Punkt-zu-Punkt-Interfaces vorsichtig zu verwenden sei. Der Hinweis ist kein Fehler, solange auf dem Segment wirklich nur zwei Router hängen, etwa bei einer gerouteten Verbindung zwischen zwei Core-Switches.

Ein /32 bezeichnet genau eine Adresse. Er ist das übliche Präfix für Loopback-Interfaces, die als Router-ID für OSPF oder BGP und als stabile Management-Adresse dienen, weil sie nicht mit einem physischen Port ausfallen. In Routingtabellen tauchen /32 als Host-Routen auf, in ACLs entspricht er dem Schlüsselwort host.

interface GigabitEthernet1/0/48
 description Transfer zu CORE-02
 no switchport
 ip address 10.255.1.0 255.255.255.254
!
interface Loopback0
 description Router-ID und Management
 ip address 10.255.0.1 255.255.255.255
!
router ospf 1
 router-id 10.255.0.1
 network 10.255.1.0 0.0.0.1 area 0
 network 10.255.0.1 0.0.0.0 area 0

VLSM: ein /24 in unterschiedlich große Teilnetze zerlegen

Variable Length Subnet Masking heißt, dass Teilnetze innerhalb eines Blocks unterschiedlich lange Präfixe haben. Angenommen, ein Standort bekommt 192.168.50.0/24 und braucht ein Netz für 100 Clients, eines für 50 Telefone, eines für 20 Drucker und zwei Transfernetze zu Routern. Die Regel lautet: Sortiere nach Größe und vergib den größten Block zuerst, immer an einer Grenze, die ein Vielfaches seiner eigenen Blockgröße ist.

100 Hosts brauchen sieben Hostbits, also ein /25 mit 126 Adressen. 50 Hosts brauchen sechs Hostbits, ein /26 mit 62. 20 Hosts passen in ein /27 mit 30. Die Transfernetze bekommen /30, oder /31, wenn beide Seiten es unterstützen. Was übrig bleibt, hältst du als zusammenhängende Reserve fest, statt es in Fetzen zu verteilen.

Der Vorteil der Reihenfolge zeigt sich, wenn man es andersherum macht: Wer zuerst die zwei /30 an den Anfang legt, kann den /25 nicht mehr ab .0 platzieren, muss ihn nach .128 schieben und reißt vor den übrigen Blöcken eine Lücke von .8 bis .31, in die später nur noch kleine Netze passen. Ein /25 muss bei .0 oder .128 beginnen, ein /26 bei einem Vielfachen von 64.

Typische Rechenfehler und wie du sie vermeidest

Die meisten Fehler lassen sich vier Mustern zuordnen. Wer sie kennt, prüft sein Ergebnis gezielt an diesen Stellen, statt alles noch einmal von vorn zu rechnen.

• Im falschen Oktett gerechnet

  Bei Präfixen zwischen /17 und /23 liegt die Grenze im dritten Oktett. Wer dort mit dem vierten Oktett arbeitet, bekommt eine Netzadresse, die in Wahrheit ein normaler Host ist. Prüfe vor jeder Rechnung, welches Oktett die Präfixlänge trifft.

• Broadcast als Host vergeben

  Die letzte Adresse eines Blocks sieht aus wie jede andere, etwa 10.20.30.95. Ein Gerät mit dieser Adresse empfängt Broadcasts, antwortet aber unzuverlässig, und IOS lehnt sie auf Interfaces ab. Halte im Adressplan die Grenzen jedes Blocks fest, nicht nur die Netzadresse.

• Hostzahl ohne minus zwei

  Ein /26 hat 64 Adressen, aber nur 62 Hosts. Wer für 64 Geräte ein /26 plant, hat zwei zu wenig und dazu kein Gateway. Plane mindestens 20 bis 30 Prozent Reserve ein, weil Netze selten kleiner werden.

• Teilnetz an falscher Grenze begonnen

  Ein /26 kann nicht bei .32 beginnen, nur bei 0, 64, 128 oder 192. Ein Netz, das an einer falschen Grenze startet, ist rechnerisch ein Teil eines anderen Netzes, und die Geräte darin sehen die Maske anders als der Planer.

Ergebnisse mit ipcalc, Python und dem Router prüfen

Unter Linux ist ipcalc das schnellste Werkzeug. Die Debian- und Ubuntu-Variante zeigt Netz, Wildcard, HostMin, HostMax, Broadcast und die Hostzahl, ohne die Option -b zusätzlich binär. sipcalc liefert dieselben Werte in anderer Darstellung und kann auch IPv6. Wer kein Paket installieren darf, nutzt das Modul ipaddress aus der Python-Standardbibliothek.

Auf dem Gerät selbst prüfst du mit show ip interface, ob die Adresse mit dem erwarteten Präfix gesetzt ist. Unter Linux zeigt ip -4 addr neben dem Präfix auch den Broadcast an, den der Kernel aus der Maske berechnet hat. Steht dort ein anderer Wert als in deinem Plan, ist entweder die Maske falsch eingetragen oder der Plan.

$ ipcalc -b 10.20.30.77/27
Address:   10.20.30.77
Netmask:   255.255.255.224 = 27
Wildcard:  0.0.0.31
=>
Network:   10.20.30.64/27
HostMin:   10.20.30.65
HostMax:   10.20.30.94
Broadcast: 10.20.30.95
Hosts/Net: 30

$ python3 -c "import ipaddress as i; n=i.ip_interface('10.20.30.77/27').network; print(n, n.broadcast_address, n.num_addresses-2)"
10.20.30.64/27 10.20.30.95 30

$ ip -4 addr show dev eth0 | grep inet
    inet 10.20.30.77/27 brd 10.20.30.95 scope global eth0

R1# show ip interface Vlan30 | include Internet address
  Internet address is 10.20.30.77/27