IPv4-CIDR-Subnetting & Adressierung: RFC 1918, VLSM, Bitweise Arithmetik & Netzwerkgrenzen

Erstellt: 08.11.2026 · Zuletzt aktualisiert: 08.11.2026 · Nejat Hakan

Management Summary: Hinter jeder Linux-Netzwerkschnittstellen-Konfiguration und jedem Routingtabelleneintrag steht Classless Inter-Domain Routing (CIDR). Statt veraltete Netzklassen auswendig zu lernen, erfordert professionelles Systems Engineering das Beherrschen der 32-Bit-Binärarithmetik: Wie der Linux-Kernel über bitweise UND-Operationen zwischen lokalen On-Link-Zielen und Gateway-Hops unterscheidet, wie private Adressräume (RFC 1918) mit Variable Length Subnet Masking (VLSM) verlustfrei aufgeteilt werden und wie Netzwerkgrenzen mit Werkzeugen wie ipcalc validiert werden.

Bitweise Kernel-Logik

Verstehe die bitweise UND-Verknüpfung (Ziel-IP & Subnetzmaske = Netzwerk-ID), die der Kernel für jedes ausgehende Paket in Nanosekunden berechnet.
Vollständige CIDR-Referenztabelle

Detaillierte Dimensionierungstabelle von /32-Hostrouten und /31-Punkt-zu-Punkt-Links (RFC 3021) bis hin zu /16-Campus-Supernetzen.
Private & reservierte Bereiche

RFC-1918-Subnetze im Detail, Loopback 127.0.0.0/8, Link-Local APIPA 169.254.0.0/16 und Carrier-Grade NAT (CGNAT) 100.64.0.0/10.
VLSM-Enterprise-Architektur

Schritt-für-Schritt-Aufteilung eines /24-Präfix in DMZ-, interne Server-, Datenbank- und Router-Transitnetze ohne Adressverschwendung.

1. Anatomie einer IPv4-Adresse & die bitweise Routing-Entscheidung

Eine IPv4-Adresse besteht aus 32 binären Bits, aufgeteilt in vier 8-Bit-Oktette in punktierter Dezimalnotation. Eine Subnetzmaske bestimmt, welche führenden Bits zum Netzwerkpräfix gehören und welche hinteren Bits den individuellen Host adressieren:

IP-Adresse:   192.168.10.45       ->  11000000 . 10101000 . 00001010 . 00101101
Subnetzmaske: 255.255.255.0 (/24) ->  11000000 . 11111111 . 11111111 . 00000000
--------------------------------------------------------------------------------
Netzwerk-ID:  192.168.10.0        ->  11000000 . 10101000 . 00001010 . 00000000
Host-ID:      45                  ->  00000000 . 00000000 . 00000000 . 00101101

Wie der Linux-Kernel über On-Link vs. Gateway entscheidet

Wenn ein Prozess Daten an eine Ziel-IP (z. B. 192.168.10.88) sendet, führt das Routing-Subsystem des Kernels eine bitweise UND-Operation zwischen der Ziel-IP und der Subnetzmaske der Schnittstelle aus:

%%{init: {'flowchart': {'wrappingWidth': 350}}}%%
flowchart TB
    A["Ausgehendes Paket<br/>an Ziel-IP"] --> B["Kernel Bitweises UND:<br/>Ziel-IP & Subnetzmaske"]
    B --> C{"Ergebnis = Lokale<br/>Netzwerk-ID?"}
    C -->|"JA: On-Link (Gleiches LAN)"| D["Bypass Default Gateway<br/>ARP-Request für Ziel-MAC<br/>Direkte L2-Zustellung"]
    C -->|"NEIN: Off-Link (Fremdnetz)"| E["Routing-Tabelle prüfen<br/>Default Gateway ermitteln<br/>Frame an Router-MAC"]

Kernel-Routing live am Terminal abfragen

Du kannst die Kernel-Entscheidung exakt abfragen, ohne Pakete zu senden:

# Lokales Ziel im selben Subnetz
ip route get 192.168.10.88
# Ausgabe: 192.168.10.88 dev eth0 src 192.168.10.45 uid 1000

# Externes Ziel im Internet
ip route get 1.1.1.1
# Ausgabe: 1.1.1.1 via 192.168.10.1 dev eth0 src 192.168.10.45 uid 1000

2. Vollständige IPv4-CIDR-Referenztabelle

In regulären Subnetzen sind zwei Adressen fest reserviert: 1. Netzwerk-Identifikator (Alle Host-Bits = 0): Repräsentiert das Subnetz selbst. 2. Directed Broadcast (Alle Host-Bits = 1): Adressiert alle Hosts im Subnetz gleichzeitig.

Nutzbare Hostadressen berechnen sich nach der Formel: 2^(32 - Präfix) - 2.

CIDR-Präfix	Subnetzmaske	Gesamte IPs	Nutzbare Hosts	Typische Rolle in der Infrastruktur
`/32`	`255.255.255.255`	`1`	`1`	Einzelne Hostroute, Loopback-VIP, WireGuard-Peer-Endpunkt.
`/31`	`255.255.255.254`	`2`	`2` (RFC 3021)	Punkt-zu-Punkt-Routerlinks (keine Netzwerk-/Broadcast-Verschwendung).
`/30`	`255.255.255.252`	`4`	`2`	Klassischer Punkt-zu-Punkt-Transitlink zwischen zwei Firewalls.
`/29`	`255.255.255.248`	`8`	`6`	Kleines HA-Cluster (2 Firewalls + 2 VIPs).
`/28`	`255.255.255.240`	`16`	`14`	Isoliertes DMZ-Segment (Reverse-Proxies, Bastion-Hosts).
`/27`	`255.255.255.224`	`32`	`30`	Dediziertes Datenbank-Cluster oder Speicher-Netzwerk.
`/26`	`255.255.255.192`	`64`	`62`	Abteilungsnetzwerk oder mittlerer Container-Host-Pool.
`/25`	`255.255.255.128`	`128`	`126`	Hälfte eines klassischen `/24`-Netzsegments.
`/24`	`255.255.255.0`	`256`	`254`	Standard-Server-VLAN, Homelab-LAN oder Podman-Bridge-Netz.
`/23`	`255.255.254.0`	`512`	`510`	Großes Büro-Subnetz oder Virtualisierungs-Farm.
`/20`	`255.255.240.0`	`4.096`	`4.094`	Cloud-VPC-Verfügbarkeitszonen-Supernetz.
`/16`	`255.255.0.0`	`65.536`	`65.534`	Enterprise-Unternehmensnetz oder Kubernetes-Cluster-CIDR.

3. RFC 1918 Private Netze & Spezielle Adressbereiche

1. Private IPv4-Bereiche (RFC 1918)

Diese Adressen dürfen im öffentlichen Internet nicht geroutet werden und erfordern für den WAN-Zugriff NAT / Masquerading:

10.0.0.0/8 (10.0.0.0 – 10.255.255.255): 16.777.216 Adressen – Standard für Rechenzentren, unternehmensweite VPN-Netze und Multi-Region-VPCs.
172.16.0.0/12 (172.16.0.0 – 172.31.255.255): 1.048.576 Adressen – Häufig von Container-Engines wie Docker und Podman für interne Bridges genutzt (172.17.0.0/16).
192.168.0.0/16 (192.168.0.0 – 192.168.255.255): 65.536 Adressen – Wird typischerweise in /24-Subnetze für Heim- und Zweigstellen-LANs aufgeteilt.

2. Essenzielle reservierte Spezialbereiche

127.0.0.0/8 (Loopback): Pakete verlassen den Host nicht; rein interne Kommunikation über das lo-Interface.
169.254.0.0/16 (Link-Local / APIPA): Automatisch zugewiesen, wenn kein DHCP-Server antwortet (RFC 3927). Erhält ein Server diese IP, liegt ein DHCP-Fehler vor.
100.64.0.0/10 (Carrier-Grade NAT / CGNAT - RFC 6598): Wird von Internetprovidern (Glasfaser/DSL) verwendet, um eine öffentliche IPv4-Adresse auf mehrere Kundenanschlüsse aufzuteilen.
224.0.0.0/4 (Multicast): Für dynamische Routing- und Redundanzprotokolle (z. B. OSPF 224.0.0.5, VRRP 224.0.0.18).

4. VLSM (Variable Length Subnet Masking) Praxis-Workshop

In professionellen Infrastrukturen führt die starre Zuweisung von /24-Netzen zu massiver Adressverschwendung. Mit VLSM unterteilen Sie ein übergeordnetes Netz bedarfsgerecht in verschieden große Subnetze.

Szenario: Strukturierte Aufteilung von `192.168.10.0/24`

Gesamter Adressraum: 192.168.10.0/24 (256 Adressen)

+-----------------------------------+-----------------------------------+
|               192.168.10.0/25 (128 Adressen)                          |
|               Interne Arbeitsplätze / Office LAN (120 Hosts)          |
+-----------------+-----------------+-----------------+-----------------+
| 192.168.10.128  | 192.168.10.160  | 192.168.10.192  | 192.168.10.224  |
| /27 (32 IPs)    | /27 (32 IPs)    | /27 (32 IPs)    | /28 (16 IPs)    |
| Öffentliche DMZ | DB-Cluster      | Kubernetes-Pods | Management-VIPs |
+-----------------+-----------------+-----------------+--------+--------+
                                                      | .240   | .244   |
                                                      | /30    | /30    |
                                                      | P2P-1  | P2P-2  |
                                                      +--------+--------+

Der resultierende Subnetz-Plan

Zweck des Subnetzes	Benötigte Hosts	Gewähltes CIDR	Netzwerk-ID	Nutzbarer Hostbereich	Broadcast-IP
Arbeitsplätze	100 Hosts	`/25`	`192.168.10.0`	`192.168.10.1` – `192.168.10.126`	`192.168.10.127`
Öffentliche DMZ	25 Hosts	`/27`	`192.168.10.128`	`192.168.10.129` – `192.168.10.158`	`192.168.10.159`
Datenbank-Cluster	14 Hosts	`/28`	`192.168.10.160`	`192.168.10.161` – `192.168.10.174`	`192.168.10.175`
P2P Router-Link	2 Hosts	`/30`	`192.168.10.176`	`192.168.10.177` – `192.168.10.178`	`192.168.10.179`

5. Subnetzberechnung mit Linux-Bordmitteln & ipcalc

Installiere ipcalc und sipcalc auf Debian, um Netzwerkgrenzen fehlerfrei im Terminal zu berechnen:

sudo apt update && sudo apt install -y ipcalc sipcalc

1. Subnetzgrenzen präzise berechnen

# Zeigt Netz-ID, Broadcast, Min/Max-Host und Binärdarstellung
ipcalc 192.168.10.160/28

Ausgabe:

Address:   192.168.10.160       11000000.10101000.00001010.1010 0000
Netmask:   255.255.255.240 = 28 11111111.11111111.11111111.1111 0000
Wildcard:  0.0.0.15             00000000.00000000.00000000.0000 1111
=>
Network:   192.168.10.160/28    11000000.10101000.00001010.1010 0000
HostMin:   192.168.10.161       11000000.10101000.00001010.1010 0001
HostMax:   192.168.10.174       11000000.10101000.00001010.1010 1110
Broadcast: 192.168.10.175       11000000.10101000.00001010.1010 1111
Hosts/Net: 14                   (Private Internet)

2. Ein übergeordnetes Subnetz automatisiert aufteilen

# Teilt 192.168.10.0/24 in gleich große Subnetze für jeweils mindestens 60 Hosts auf
ipcalc 192.168.10.0/24 -s 60

6. Nächste Schritte

Nachdem die IPv4-Grundlagen und das Subnetting beherrscht werden, folgt der Sprung in die moderne 128-Bit-Welt mit SLAAC und zustandsloser Adressierung:

IPv6 in der Praxis (SLAAC, NDP & Dual-Stack)

128-Bit-Adressarchitektur, Neighbor Discovery Protocol (NDP statt ARP), radvd-Routerkonfiguration und essenzielle ICMPv6-Regeln.

Zum IPv6-Leitfaden