Was ist ein Subnetz, und was macht eine Subnetzmaske?
Kurzantwort
Ein Subnetz ist eine logische Unterteilung eines IP-Netzes. Die Subnetzmaske markiert, welche Bits einer IP-Adresse der Netz-Anteil und welche der Host-Anteil sind — zum Beispiel bedeutet /24 (255.255.255.0), dass die ersten 24 Bit das Netz und die letzten 8 die Hosts kennzeichnen. Subnetting steuert, wie Verkehr geroutet wird, und erlaubt es, ein Netz in kleinere Broadcast-Domänen zu segmentieren.
Subnetting ist die Art, wie ein großer IP-Adressraum in handhabbare, routbare Stücke geschnitten wird. Die Subnetzmaske ist das Werkzeug, das das Schneiden erledigt, und sie zu verstehen ist grundlegend für das Routing und für die Netzsegmentierung als Sicherheitskontrolle.
Netz-Bits vs. Host-Bits
Eine IPv4-Adresse hat 32 Bit. Die Subnetzmaske ist ein zweiter 32-Bit-Wert, bei dem die führenden Einsen den Netz-Anteil markieren und die nachfolgenden Nullen den Host-Anteil. Für 192.168.1.0/24 lautet die Maske 255.255.255.0 — die ersten 24 Bit (192.168.1) kennzeichnen das Netz, und die letzten 8 Bit kennzeichnen die einzelnen Hosts darin. Das /24 ist die CIDR-Notation, einfach eine Kurzschreibweise für „24 Netz-Bits".
Wofür die Maske verwendet wird
Will ein Host ein Paket senden, verknüpft er die Ziel-IP per UND mit seiner eigenen Maske. Stimmt das Ergebnis mit seinem eigenen Netz überein, ist das Ziel lokal und er stellt direkt über ARP/MAC zu. Andernfalls ist das Paket entfernt und geht an das Standard-Gateway. Die Maske entscheidet also wörtlich „direkt sprechen oder an den Router übergeben".
Host-Anzahl
Ein /24 hat 8 Host-Bits = 256 Adressen, aber zwei sind reserviert: die Netzadresse (alle Host-Bits 0) und die Broadcast-Adresse (alle Host-Bits 1), womit 254 nutzbar bleiben.
Warum es für die Sicherheit wichtig ist
Kleinere Subnetze erzeugen kleinere Broadcast-Domänen und natürliche Grenzen, auf die man Zugriffskontrollen setzen kann. Server, Benutzer-Arbeitsplätze und IoT-Geräte in getrennte Subnetze zu segmentieren, begrenzt die laterale Bewegung — ein Angreifer, der in einem Subnetz landet, kann ein anderes nicht frei erreichen, wenn eine Firewall dazwischensitzt.
Interviewer erwarten die Aufteilung in Netz/Host, was /24 bedeutet, die Entscheidung lokal vs. Gateway und idealerweise den Sicherheitsvorteil der Segmentierung.
Wahrscheinliche Anschlussfragen
- Wie viele nutzbare Hosts hat ein /24, und warum sind es nicht 256?
- Wie entscheidet ein Host, ob ein Ziel lokal ist oder das Gateway braucht?
- Welchen Sicherheitsvorteil bringt es, ein flaches Netz in Subnetze aufzuteilen?