CIDR- / Subnetzrechner

Was dieses Werkzeug tut

Ein CIDR-Block wie 192.168.1.0/24 ist eine kompakte Art, einen Adressbereich zu benennen. Dieses Werkzeug nimmt einen solchen und beantwortet die Fragen, die sich daraus ergeben: wo der Bereich beginnt und endet, wie viele Adressen er umfasst, wie viele davon einer Maschine gegeben werden können, wie die Subnetzmaske aussieht, ob eine bestimmte Adresse darin liegt und was herauskommt, wenn man ihn in kleinere Teile schneidet.

Es beherrscht IPv4 und IPv6 und nimmt eine Hostadresse ebenso bereitwillig entgegen wie eine Netzadresse: Fügen Sie 192.168.1.57/24 direkt aus ip addr ein, und es nennt Ihnen den Block, in dem diese Adresse liegt. Alles ist Arithmetik, die in Ihrem Browser abläuft: keine Abfragen, kein Server, und es funktioniert mit ausgestecktem Netzwerk.

Was die Zahl nach dem Schrägstrich bedeutet

Eine IPv4-Adresse hat 32 Bit. Die Zahl nach dem Schrägstrich — die Präfixlänge — sagt, wie viele dieser Bits das Netz bezeichnen; der Rest bezeichnet einen Host darin. Ein /24 legt die ersten 24 Bit fest und lässt 8 frei, weshalb es 2^8 = 256 Adressen umfasst.

192.168.1.0                           # die Adresse
11000000.10101000.00000001.00000000   # ihre 32 Bit
11111111.11111111.11111111.00000000   # die /24-Maske: 24 Einsen, 8 Nullen

Wo die Maske eine Eins trägt, gehört das Bit zum Netz und ist für jede Adresse im Block fest; wo sie eine Null trägt, ist das Bit frei und bezeichnet einen Host. Jedes zusätzliche Präfixbit halbiert den Block. Diese Beziehung ist das ganze Subnetting, und es lohnt sich, sie zu verinnerlichen, statt eine Tabelle auswendig zu lernen:

• /24 — 256 Adressen, 254 nutzbar. Das klassische kleine Netz.
• /25 — 128 Adressen, 126 nutzbar. Ein halbes /24.
• /26 — 64 Adressen, 62 nutzbar.
• /30 — 4 Adressen, 2 nutzbar. Die traditionelle Punkt-zu-Punkt-Verbindung.
• /16 — 65 536 Adressen. Ein /24, zweihundertsechsundfünfzigmal.

Warum zwei Adressen fehlen

Ein /24 umfasst 256 Adressen, aber nur 254 nutzbare, weil IPv4 zwei davon ausgibt. Die erste Adresse im Block ist die Netzadresse, die den Block selbst benennt und keiner Schnittstelle zugewiesen wird. Die letzte ist die Broadcast-Adresse, die alle Hosts auf dem Link gleichzeitig erreicht. Daher stammt das bekannte 2^n − 2.

Zwei Präfixe brechen diese Formel, und die meisten Rechner liegen bei mindestens einem davon falsch:

• Ein /31 hat zwei Adressen, und die Formel sagt null nutzbare. RFC 3021 definiert das /31 für Punkt-zu-Punkt-Verbindungen, wo keine Broadcast-Adresse nötig ist und beide Adressen vergeben werden — eine je Ende. Die richtige Antwort ist 2.
• Ein /32 ist eine einzelne Adresse, und die Formel sagt −1. Ein /32 benennt genau einen Host; das schreibt man für einen einzelnen Server in einer Firewall-Regel oder einer Route.

Dieses Werkzeug folgt RFC 3021 und meldet in diesen Fällen 2 und 1. Wenn ein anderer Rechner Ihnen sagt, ein /31 habe keine nutzbaren Adressen, ist das die Lehrbuchformel jenseits des Bereichs angewandt, in dem sie gilt.

Die Subnetzmaske und die Wildcard-Maske

Die Subnetzmaske enthält dieselbe Information wie die Präfixlänge, geschrieben als vier Oktette: Die Netzbits sind Einsen, die Hostbits Nullen. /24 ist 255.255.255.0. Ältere Konfigurationsformate wollen die Maske, neuere das Präfix, und beide sind austauschbar.

Die Wildcard-Maske ist die invertierte Subnetzmaske — 0.0.0.255 für ein /24. Cisco-Zugriffslisten und OSPF-network-Anweisungen werden damit geschrieben, und die Umkehrung führt oft genug in die Irre, um sie deutlich zu sagen: In einer Wildcard-Maske bedeutet ein Null-Bit „muss übereinstimmen“ und ein Eins-Bit „egal“ — genau umgekehrt zur Subnetzmaske.

IPv6 ist dieselbe Idee mit weniger Ausnahmen

IPv6-Adressen haben 128 statt 32 Bit, und das Präfix funktioniert identisch — ein /64 legt die ersten 64 Bit fest. Die Arithmetik ist dieselbe; was sich ändert, ist, dass zwei IPv4-Komplikationen verschwinden.

• Es gibt keine Broadcast-Adresse. IPv6 hat Broadcast durch Multicast ersetzt, also ist am Ende eines Präfixes nichts reserviert.
• Am Anfang ist ebenfalls nichts reserviert, sodass jede Adresse im Block vergebbar ist und die Zahl der nutzbaren der Gesamtzahl entspricht. (Die Nulladresse eines Subnetzes ist die Subnetz-Router-Anycast-Adresse, eine Routing-Konvention und kein Loch im Bereich.)
• Es gibt keine gepunktete Subnetzmaske. IPv6 wird immer als Präfixlänge geschrieben; eine 128-Bit-Maske als Text wäre unlesbar, und niemand verlangt sie.

Ein /64 ist die Standardgröße für einen einzelnen Link, weil die zustandslose Adressautokonfiguration 64 Hostbits erwartet. Ein Standort bekommt typischerweise ein /48 oder /56, das dann in /64 aufgeteilt wird — eines je VLAN oder Segment. Deshalb teilt dieses Werkzeug ein /48 bereitwillig in /64 auf und sagt Ihnen, dass es 65 536 davon gibt.

Die Adressanzahlen wachsen schnell, daher werden sie als Zweierpotenz und als volle Zahl gezeigt: Ein /32 umfasst 2^96 Adressen, also 79 228 162 514 264 337 593 543 950 336. Die Potenz ist das Lesbare; die Ziffern sind das, was man kopiert.

IPv6-Adressen kanonisch schreiben

Eine IPv6-Adresse lässt sich auf viele Arten schreiben, was den Vergleich zweier Adressen mit bloßem Auge unzuverlässig macht. RFC 5952 legt eine einzige kanonische Textform fest, und die gibt dieses Werkzeug aus:

• Kleingeschriebenes Hexadezimal und keine führenden Nullen innerhalb einer Gruppe — aus 2001:0db8 wird 2001:db8.
• Die längste Folge von Nullgruppen wird durch :: ersetzt, und nur die längste. Bei Gleichstand gewinnt die linke.
• Eine einzelne Nullgruppe wird nie komprimiert, weil :: nichts sparen und eine zweite Schreibweise schaffen würde.

Die ausgeschriebene Form steht daneben, jede Gruppe auf vier Stellen aufgefüllt. Sie ist nicht kanonisch, aber sie ist die Form, die sich in einer Spalte ausrichtet, wenn man eine Liste von Adressen vergleicht.

Einen Block aufteilen

Ein Netz in mehrere gleich große zu schneiden ist die Aufgabe, für die man üblicherweise zu einem Subnetzrechner greift. Jedes zusätzliche Präfixbit verdoppelt die Zahl der Subnetze und halbiert ihre Größe: Aus einem /24 werden zwei /25, vier /26, acht /27 und so fort.

192.168.1.0/24  ->  /26
192.168.1.0/26      # Adressen   0-63
192.168.1.64/26     # Adressen  64-127
192.168.1.128/26    # Adressen 128-191
192.168.1.192/26    # Adressen 192-255

Die Subnetze kacheln das Elternnetz exakt — ohne Lücke und ohne Überlappung —, eine Eigenschaft, die zu prüfen sich lohnt, wenn man Adressraum von Hand aufteilt. Beachten Sie, dass die Zahlen rasch wachsen: Ein /8 in /24 aufgeteilt sind 65 536 Netze, deshalb ist die Liste hier gedeckelt und die wahre Gesamtzahl steht daneben, statt die Antwort stillschweigend abzuschneiden.

Bereiche mit besonderer Bedeutung

Manche Blöcke sind für einen bestimmten Zweck reserviert, und ein Netz, das in einem davon liegt, wird hier gekennzeichnet. Die häufigsten:

• Privat (RFC 1918) — 10.0.0.0/8, 172.16.0.0/12 und 192.168.0.0/16. Innerhalb einer Organisation routbar, nie im öffentlichen Internet.
• Loopback — 127.0.0.0/8 bei IPv4 und ::1 bei IPv6. Verkehr, der den Host nie verlässt.
• Link-lokal — 169.254.0.0/16 und fe80::/10. Selbst vergeben, nur auf einem Link gültig. Eine IPv4-Adresse in diesem Bereich bedeutet meist, dass DHCP fehlgeschlagen ist.
• Carrier-Grade-NAT — 100.64.0.0/10. Wird zwischen Anschluss und Provider verwendet; im eigenen Netz ist sie ein Hinweis auf ein NAT auf Providerseite.
• Dokumentation — 192.0.2.0/24, 198.51.100.0/24, 203.0.113.0/24 und 2001:db8::/32. Für Beispiele reserviert.
• Unique Local — fc00::/7. Das IPv6-Gegenstück zum privaten Raum aus RFC 1918.

Die Kennzeichnung wird nur gesetzt, wenn der ganze Block innerhalb des Sonderbereichs liegt, nicht wenn er ihn bloß überlappt. Ein 0.0.0.0/0 deckt jeden existierenden privaten Bereich ab, ist aber selbst nicht privat, und etwas anderes zu behaupten wäre schlimmer, als nichts zu sagen.

Wie viele Hosts fasst ein /24?

Ein /24 fasst 256 Adressen und davon 254 nutzbare. Der Präfix legt 24 der 32 Bits fest und lässt 8 frei, der Block umfasst also 2^8 = 256 Adressen, und IPv4 gibt die erste für das Netz selbst und die letzte für Broadcast aus — das 2^n − 2 aus dem Abschnitt weiter oben, wobei n die Zahl der Host-Bits ist. Diese Subtraktion gilt für jeden IPv4-Präfix bis /30 und für keinen der beiden darunter: ein /31 hat 2 nutzbare Adressen und nicht 0, ein /32 hat 1 und nicht −1, und genau so berichtet dieses Werkzeug.

• Die Subnetzmaske ist 255.255.255.0 und die Wildcard-Maske 0.0.0.255. Drei ganze Oktette von vier stehen fest, und das macht /24 zum einzigen Präfix, den man direkt aus der Punktschreibweise ablesen kann: das letzte Oktett ist der Host, die drei davor sind das Netz.
• Der nutzbare Bereich läuft von .1 bis .254. Die Netzadresse ist .0 und die Broadcast-Adresse .255, und dieses Werkzeug benennt beide, statt an einem der beiden Enden eine Lücke zu lassen.
• Ein /24 sind zwei /25, vier /26 oder acht /27 — jedes zusätzliche Bit halbiert ihn — und er selbst ist einer der 256 /24, die in ein /16 passen.
• Ältere Dokumentation nennt das ein class-C-Netz, weil im klassenbasierten Schema, das CIDR ersetzt hat, ein class C genau 24 Netzbits hatte. Deshalb fragt dieses Werkzeug nach einer Zahl hinter dem Schrägstrich und nicht nach einem Buchstaben: ein /26 gehört zu keiner Klasse.

Die 254 ist Arithmetik und keine Inventarliste. In einem laufenden Netz nimmt der Router oder das Gateway eine davon, und ein DHCP-Pool wird in der Regel über einen Teil des Bereichs eingerichtet und nicht über den ganzen, sodass sich tatsächlich 253 Maschinen oder weniger anstecken lassen. Nehmen Sie die 254 als die Obergrenze, bei der ein Adressplan anfängt.

Wie viele Hosts fasst ein /16?

Ein /16 fasst 65 536 Adressen und davon 65 534 nutzbare. Sechzehn Bits stehen fest und sechzehn sind frei, also 2^16 = 65 536, und dieselben zwei Adressen fallen an den Enden weg — die Subtraktion, die bis /30 gilt und dort aufhört, aus den Gründen von /31 und /32 oben.

• Die Subnetzmaske ist 255.255.0.0 und die Wildcard-Maske 0.0.255.255, die ersten zwei Oktette sind also das Netz und die letzten zwei bezeichnen den Host.
• Ein /16 sind 256 /24. Das ist die Teilung, die man an einem /16 tatsächlich vornimmt, und genau das tut hier die Aufteilung: geben Sie ihm ein /16, fragen Sie nach /24, und er listet sie auf und nennt die Summe daneben.
• 192.168.0.0/16 ist ein /16, und es ist der private Bereich, aus dem ein Heimrouter Adressen verteilt — deshalb ist 192.168.1.0/24 der Block, den fast jeder schon gesehen hat. Alles darin markiert dieses Werkzeug als privat (RFC 1918).
• Ältere Dokumentation nennt ein /16 ein class-B-Netz. Ein class B wurde einer Organisation im Ganzen zugeteilt, und die Gewohnheit, sich eines als ein einziges Netz vorzustellen, ist von dort übrig.

Niemand hängt 65 534 Maschinen an einen Link. Ein /16 ist eine Zuteilung und keine Broadcast-Domäne: jeder Host an einem Link sieht dessen Broadcast- und ARP-Verkehr, und in dieser Größe wird das lange unbrauchbar, bevor der Bereich voll ist. Die nützliche Frage zu einem /16 ist deshalb nicht, wie viele Hosts er fasst, sondern wie er geschnitten wird — 256 /24, oder 1 024 /26, oder was die Segmente wirklich brauchen.

Wie viele Hosts fasst ein /8?

Ein /8 fasst 16 777 216 Adressen und davon 16 777 214 nutzbare: 24 Host-Bits, also 2^24, abzüglich Netz- und Broadcast-Adresse. Es ist der größte Block, den überhaupt jemand von Hand schreibt, und in der Praxis fast immer derselbe — 10.0.0.0/8, der größte der drei privaten Bereiche.

• Die Subnetzmaske ist 255.0.0.0 und die Wildcard-Maske 0.255.255.255. Nur das erste Oktett steht fest, und die anderen drei bleiben zum Planen.
• Ein /8 sind 256 /16 oder 65 536 /24. Diese letzte Zahl ist der Grund, warum die Aufteilungsliste auf dieser Seite begrenzt ist und die wahre Summe daneben steht, statt die Antwort stillschweigend abzuschneiden.
• 10.0.0.0/8 ist hier als privat (RFC 1918) markiert, und 127.0.0.0/8 ist der Loopback-Bereich. Beide sind acht Bit breit, weil das klassenbasierte Schema ein class A genau so gemacht hat, und die Beschriftungen haben die Klassen überlebt.
• Ein /8 öffentlichen Adressraums ist etwas völlig anderes. In ganz IPv4 gibt es nur 256 davon, und sie wurden vor Jahrzehnten an Organisationen und regionale Registraturen verteilt.

Die 16 777 214 ist in keinem nützlichen Sinn eine Host-Zahl — sechzehn Millionen Adressen an einem Link sind kein Netz, das jemand betreibt. Ein /8 ist ein Adressplan, und gemessen wird ein Plan daran, wie viele Subnetze er hergibt und was jedes kostet: jedes Subnetz gibt seine eigene Netz- und Broadcast-Adresse aus, ein in /24 geschnittenes /8 ergibt also 65 536 Netze und gibt dafür 131 072 Adressen aus. Das ist der Preis der Subnetzbildung, und deshalb nimmt ein Plan das größte Subnetz, das ein Segment verträgt, und nicht das kleinste, das noch passt.

Wie viele Adressen fasst ein IPv6-/64?

Ein /64 fasst 18 446 744 073 709 551 616 Adressen — 2^64, dieselbe Arithmetik mit 64 freien Bits statt 8 — und alle davon sind nutzbar. Es gibt nichts abzuziehen: IPv6 hat keine Broadcast-Adresse und reserviert am Anfang eines Präfixes nichts, die Zahl der nutzbaren Adressen ist also die Gesamtzahl. Deshalb zeigt dieses Werkzeug einem IPv6-Block auch keine Broadcast-Adresse und keine Punktmaske, statt sie als Null zu zeigen.

• Die Zahl wird neben den Ziffern als Zweierpotenz ausgegeben. 2^64 ist die Form, die man lesen kann; die Ziffern sind die Form, die man kopiert.
• Ein /64 ist die Standardgröße für einen Link, ob dieser Link zwei Maschinen trägt oder zweitausend. Die zustandslose Adressautokonfiguration baut die letzten 64 Bits einer Adresse auf dem Host selbst, der Präfix steht also durch den Mechanismus bei 64 und nicht durch die Zahl der Hosts.
• Ein /64 kommt aus einer größeren Zuteilung: ein /48 sind 65 536 /64 und ein /56 sind 256 davon, und eines von beiden bekommt ein Standort üblicherweise zum Aufteilen.
• Eine Schnittstelle hält aus ihrem /64 normalerweise mehrere Adressen gleichzeitig: die Adresse, die die Autokonfiguration aus dem Präfix baut, und daneben meist eine temporäre Privacy-Adresse, die mit der Zeit ersetzt wird. Maschinen über Adressen zu zählen geht auch in diese Richtung schief.

Diese Zahl als Kapazität zu lesen ist der Fehler, zu dem IPv4-Gewohnheiten verleiten. Ein /64 ist nicht darauf angelegt, gefüllt zu werden, nichts füllt es, und keine Zuteilungspolitik erwartet das; es ist so groß, damit ein Host sich auf dem Link selbst eine Adresse bauen kann, ohne jemanden zu fragen. Die Frage, die ein /64 beantwortet, ist, wie viele Links ein Standort hat, und nicht, wie viele Maschinen.