Subnetz-Rechner
Berechnen Sie IPv4/IPv6-Netzwerkadresse, Broadcast, Maske, Host-Bereich und CIDR — vollständig in Ihrem Browser.
Was ist ein Subnetz-Rechner?
Ein Subnetz-Rechner ist ein Werkzeug, das aus einer IP-Adresse zusammen mit einem CIDR-Präfix oder einer Subnetzmaske die strukturellen Eigenschaften des Netzwerks ableitet: Netzwerkadresse, Broadcast-Adresse, nutzbarer Host-Bereich, Gesamtzahl der Hosts sowie die binäre Grenze zwischen Netzwerk- und Host-Bits. Netzwerktechniker, Systemadministratoren und Entwickler greifen darauf zurück, wenn sie VLSM-Zuteilungen planen, Firewall-Regeln schreiben, der Frage "Warum können diese Hosts nicht miteinander kommunizieren?" nachgehen oder Routing-Tabellen konfigurieren. Die Berechnung besteht aus bitweisem AND/OR mit der Maske — im Prinzip trivial, in der Praxis fehleranfällig, besonders zwischen IPv4 und IPv6, deren Adressen 32 bzw. 128 Bit lang sind. Dieser Rechner läuft komplett in Ihrem Browser mit BigInt-Arithmetik, verarbeitet daher das vollständige IPv6-Spektrum (/0 bis /128) ohne Genauigkeitsverlust und sendet die eingefügte Adresse niemals an einen Server.
Anwendung
Schritte
- Wählen Sie oben mit dem Umschalter zwischen IPv4 und IPv6.
- Geben Sie eine IP-Adresse in das Eingabefeld ein — zum Beispiel 10.0.0.42 oder 2001:db8::1.
- Passen Sie die Präfixlänge über das Zahlenfeld oder den Schieberegler an; die Ergebnisse aktualisieren sich sofort.
- Klicken Sie auf eine Ergebniskachel, um den jeweiligen Wert in die Zwischenablage zu kopieren.
- Bei IPv4 können Sie das Netzwerk optional in kleinere Subnetze aufteilen, indem Sie ein längeres Zielpräfix angeben.
Häufige Stolperfallen
- /31-Netzwerke sind nicht defekt — RFC 3021 erlaubt sie ausdrücklich auf Punkt-zu-Punkt-Verbindungen, wobei beide Adressen nutzbar sind.
- /32 steht für einen einzelnen Host (eine Host-Route), nicht für ein leeres Netzwerk. Dasselbe gilt für IPv6 /128.
- Das Konzept einer "Broadcast-Adresse" existiert in IPv6 nicht; das Feld zeigt stattdessen die letzte Adresse des Präfixes, die für Bereichsprüfungen dieselbe Funktion erfüllt.
- Wildcard-Masken (in Cisco-ACLs verwendet) sind schlicht das bitweise NOT der Subnetzmaske — 0.0.0.255 ist die Wildcard zu 255.255.255.0.
Anwendungsfälle
Technisches Prinzip
Eine IPv4-Adresse ist 32 Bit lang, IPv6 sind 128 Bit. Die CIDR-Notation (RFC 4632, August 2006) hängt der Adresse eine Präfixlänge /n an und erklärt damit die linken n Bits zum Netzwerk-Identifier und die übrigen Bits zum Host-Identifier. Die Subnetzmaske ist ein Bitmuster aus n aufeinanderfolgenden Einsen, gefolgt von 32−n (bzw. 128−n) Nullen — bei /24 lautet sie 11111111.11111111.11111111.00000000, dezimal 255.255.255.0. CIDR ersetzte die ältere klassenbasierte Adressierung aus RFC 791 (0.0.0.0–127.255.255.255 war Klasse A mit implizitem /8, wobei 0.0.0.0/8 für "dieses Netz" und 127.0.0.0/8 für Loopback reserviert sind; 128.0.0.0–191.255.255.255 war Klasse B (/16); 192.0.0.0–223.255.255.255 war Klasse C (/24)), die Adressen katastrophal verschwendete: ein Unternehmen mit 1.000 Plätzen, dem ein Klasse-B zugeteilt wurde, erhielt 65.534 Hosts, obwohl nur 1.000 nötig waren — das fragmentierte den IPv4-Raum. CIDR erlaubt beliebige Präfixlängen und macht damit VLSM (Variable-Length Subnet Mask, ursprünglich in RFC 950 (1985) formalisiert) sowie Routen-Aggregation ("Supernetting") möglich. Die Kernoperationen sind bitweise: Netzwerk = Adresse AND Maske; Broadcast = Netzwerk OR (NOT Maske) = Netzwerk OR Wildcard. Für 192.168.1.100/24 ergibt 0xC0A80164 AND 0xFFFFFF00 den Wert 0xC0A80100 (192.168.1.0) und OR 0x000000FF den Wert 0xC0A801FF (192.168.1.255). Die nutzbaren Hosts berechnen sich für IPv4 zu 2^(32−n) − 2 (Netzwerk- und Broadcast-Adresse abgezogen); bei /31 entfällt die −2-Regel (RFC 3021 hat sie für Punkt-zu-Punkt-Verbindungen mit zwei nutzbaren Enden zurückgewonnen) und ebenso bei /32 (eine einzelne Host-Route). IPv6 kennt keine Broadcast-Adresse — Multicast und Anycast haben diese Rolle übernommen — daher ist die "letzte Adresse" lediglich die Obergrenze des Präfixbereichs. Die nativen bitweisen Operatoren von JavaScript sind 32-Bit-vorzeichenbehaftet, was bei IPv4s 0xFFFFFFFF überläuft (wird zu −1) und IPv6 gar nicht abbilden kann; dieser Rechner verwendet durchgehend BigInt und gewährleistet so identische Korrektheit über beide Versionen hinweg. Private Adressbereiche definiert RFC 1918 für IPv4: 10.0.0.0/8, 172.16.0.0/12 und 192.168.0.0/16. IPv6 nutzt Unique Local Addresses (RFC 4193) in fc00::/7 sowie Link-Local fe80::/10 für SLAAC und On-Link-Kommunikation. Der Rechner kennzeichnet diese, damit Sie nicht versehentlich einen privaten Bereich in das öffentliche BGP veröffentlichen. Häufige Fehler, die dieses Tool verhindert: (1) Eingabe von 192.168.1.100/255.255.255.0 statt /24 — der Rechner akzeptiert die Präfixform und zeigt die Punkt-Dezimal-Maske an; (2) Fehlzählung der Host-Kapazität bei /30 gegenüber /29 (2 vs. 6 Hosts); (3) Aufteilung eines /24 in acht /27 mit Fehlberechnung des Starts des vierten Subnetzes (es ist 192.168.1.96, nicht 192.168.1.97); (4) Verwechslung der Wildcard 0.0.0.255 mit der Maske 255.255.255.0 in der Cisco-ACL-Syntax. Die Binärvisualisierung mit hervorgehobenen Netzwerk-Bits ist der schnellste Weg, die Grenze zu verinnerlichen, an der all diese Fehler verschwinden.
- RFC 4632 (August 2006) definiert CIDR — Classless Inter-Domain Routing — und löst das klassenbasierte A/B/C-Schema aus RFC 791 ab. Die /n-Notation gibt die Netzwerk-Präfixlänge an; die übrigen Bits bilden den Host-Anteil. CIDR ermöglicht VLSM (ursprünglich in RFC 950 (1985) formalisiert) und Routen-Aggregation, beides essenziell für die IPv4-Schonung und die moderne BGP-Tabelle.
- Netzwerkadresse = IP AND Maske; Broadcast = Netzwerk OR Wildcard (mit Wildcard = NOT Maske). Bei /24: Maske 0xFFFFFF00, Wildcard 0x000000FF. Nutzbare Hosts = 2^(32−n) − 2, außer /31 (RFC 3021, beide Adressen auf Punkt-zu-Punkt-Verbindungen nutzbar) und /32 (einzelne Host-Route).
- IPv6 (128 Bit) kennt keinen Broadcast — Multicast (ff00::/8) und Anycast haben ihn ersetzt. Das konventionelle Mindestpräfix ist /64 (für SLAAC, 18 Trillionen Adressen pro Subnetz); /56 oder /48 pro Standort; /32 pro ISP. Der IPv6-Adressraum priorisiert Routing-Aggregation gegenüber Adress-Sparsamkeit.
- Reservierte Bereiche jenseits von RFC 1918: 127.0.0.0/8 ist Loopback, 169.254.0.0/16 ist IPv4-Link-Local (Auto-IP / APIPA), 224.0.0.0/4 ist Multicast, 240.0.0.0/4 ist für experimentelle Nutzung reserviert. IPv6 reserviert ebenfalls fe80::/10 für Link-Local-SLAAC, ff00::/8 für Multicast und ::1/128 für Loopback. Der Rechner unterscheidet private von öffentlichen Bereichen, sodass Sie auf einen Blick erkennen, ob die eingegebene Adresse im öffentlichen Internet routbar ist.
- JavaScript-Bitoperatoren sind 32-Bit-vorzeichenbehaftet: (0xFFFFFFFF & 0xFFFFFF00) liefert −256, nicht 0xFFFFFF00. Dieser Rechner verwendet durchgehend BigInt, um den vollen IPv4-Bereich und 128-Bit-IPv6 ohne Genauigkeitsverlust abzudecken. Derselbe Code-Pfad berechnet beide Versionen; nur die Maskenbreite unterscheidet sich.
- Typischer Cisco/Juniper-Fallstrick: Die ACL-Syntax verlangt eine Wildcard-Maske (0.0.0.255), keine Subnetzmaske (255.255.255.0). Auch die "network"-Statements von EIGRP und OSPF verwenden Wildcards. Eine invertierte Maske trifft das Komplement des beabsichtigten Netzwerks — bei Routing-Protokollen still (keine Adjazenz entsteht), bei ACLs ausnutzbar (falscher Verkehr wird zugelassen).
- VLSM-Beispiel: Ein /24, in 4 gleich große Subnetze aufgeteilt, ergibt 4 × /26 (je 64 Adressen) mit 62 nutzbaren Hosts pro Subnetz. Benachbarte /26 starten bei den Offsets 0, 64, 128, 192 — NICHT 0, 63, 127, 191. Das Aufteilungswerkzeug des Rechners erzeugt diese Grenzen, damit Sie sie nicht im Kopf umrechnen müssen.
Beispiele
Standard-/24 (häufigstes LAN)
Eingabe: 192.168.1.100/24
Netzwerk: 192.168.1.0
Broadcast: 192.168.1.255
Maske: 255.255.255.0
Wildcard: 0.0.0.255
Hosts: 192.168.1.1 - 192.168.1.254 (254 nutzbar)
Klasse: C, Privat (RFC 1918)
Binär: 11000000.10101000.00000001.01100100
(Netzwerk-Bits = links 24; Host-Bits = rechts 8)Punkt-zu-Punkt-/31 (RFC 3021)
Eingabe: 10.0.0.1/31
Netzwerk: 10.0.0.0
Broadcast: 10.0.0.1
Maske: 255.255.255.254
Hosts: 10.0.0.0 - 10.0.0.1 (2 nutzbar, beide Link-Enden)
Vor RFC 3021 galt /31 als "unbenutzbar", weil 2 - 2 = 0.
Moderne Router erlauben beide Adressen für Punkt-zu-Punkt-
Verbindungen und sparen so die Hälfte des Adressraums auf
Transit-Segmenten ein.VLSM-Aufteilung: /24 in vier /26
Eingabe: 192.168.1.0/24, aufgeteilt in /26
Subnetz 1: 192.168.1.0/26 Hosts .1 - .62
Subnetz 2: 192.168.1.64/26 Hosts .65 - .126
Subnetz 3: 192.168.1.128/26 Hosts .129 - .190
Subnetz 4: 192.168.1.192/26 Hosts .193 - .254
Beachten Sie die Grenzen: 0, 64, 128, 192 — jedes /26 fasst
64 Adressen (62 nutzbar). Ein häufiger Fehler ist, Subnetz 2
bei .63 zu beginnen (Broadcast von Subnetz 1 + 1) — doch .63
ist der Broadcast selbst; das nächste Subnetz beginnt bei .64.IPv6 /64 (Standard-Leaf-Netzwerk)
Eingabe: 2001:db8:1234:5678::1/64
Netzwerk: 2001:db8:1234:5678::
Letzte: 2001:db8:1234:5678:ffff:ffff:ffff:ffff
Maske: ffff:ffff:ffff:ffff::
Hosts: 18.446.744.073.709.551.616 (2^64)
Ein einzelnes /64 fasst mehr Adressen als IPv4 zum Quadrat.
SLAAC verlangt /64, weil die unteren 64 Bit den Interface-
Identifier kodieren (EUI-64 oder zufällig nach RFC 7217).Häufige Fragen
Warum liefert ein /24 254 nutzbare Hosts statt 256?
Ein /24-Subnetz hat 2^8 = 256 Adressen, doch zwei davon sind reserviert: Die Netzwerkadresse (192.168.1.0) identifiziert das Subnetz selbst in Routing-Tabellen, und die Broadcast-Adresse (192.168.1.255) wird für Nachrichten an alle Hosts des Subnetzes verwendet. Beide sind als Host-IPs nicht nutzbar, sodass 254 zuweisbare Adressen übrig bleiben. Dieselbe −2-Regel gilt für alle IPv4-Präfixe von /1 bis /30. Ausnahmen: /31 hat 2 nutzbare Adressen (RFC 3021, Punkt-zu-Punkt), /32 hat 1 (einzelne Host-Route).
Was ist der Unterschied zwischen Subnetzmaske und Wildcard-Maske?
Eine Subnetzmaske hat Einsen im Netzwerk- und Nullen im Host-Anteil — bei /24 lautet sie 255.255.255.0. Eine Wildcard-Maske ist deren bitweises NOT — bei /24 also 0.0.0.255. Cisco-IOS-Access-Lists, EIGRP und OSPF verwenden Wildcards, weil die ursprüngliche ACL-Implementierung ein "Don't-care"-Modell nutzte (Einsen in der Wildcard bedeuten "dieses Bit muss nicht übereinstimmen"). Andere Hersteller und die meiste moderne Cisco-Syntax akzeptieren auch die Subnetzmasken-Form, doch ältere Konfigurationen, die Sie übernehmen, verwenden Wildcards.
Hat IPv6 eine Broadcast-Adresse?
Nein. IPv6 hat Broadcast bewusst entfernt und durch Multicast (ff00::/8) und Anycast ersetzt. Der "All-Nodes"-Scope ist ff02::1 und verhält sich wie der Link-Local-Broadcast von IPv4, erreicht aber nur Knoten, die der Multicast-Gruppe beigetreten sind. Der Rechner zeigt die letzte Adresse eines IPv6-Präfixes daher im Feld „Letzte Adresse" statt unter „Broadcast" an; Pakete an sie zu senden wie an 255.255.255.255 in IPv4 funktioniert nicht — auf Protokollebene gibt es kein Konzept, das sie an jeden Host zustellt.
Warum ist /31 nützlich, wenn es nach der alten Formel "keine nutzbaren Hosts" hat?
Lehrbücher vor 2000 sagten, ein /31 habe 2^1 − 2 = 0 nutzbare Hosts und sei daher ungültig. RFC 3021 (Dezember 2000) spezifizierte /31 für Punkt-zu-Punkt-Verbindungen neu, bei denen es genau zwei Endpunkte gibt und kein separater Broadcast nötig ist — die Verbindung selbst definiert den Broadcast-Bereich. Moderne Router (IOS 12.2+, Junos, FRR, Linux) unterstützen alle /31. /31 statt /30 auf Transit-Links zu verwenden, halbiert den Adressverbrauch der Kerninfrastruktur, was sich über Tausende von Links in einem großen Netzwerk summiert.
Warum scheinen alle meine IPv6-Subnetze /64 zu sein?
Konventionell ist die kleinste Einheit, die einem IPv6-Leaf-Netzwerk zugewiesen wird, /64. Die unteren 64 Bit sind dem Interface-Identifier vorbehalten — SLAAC (RFC 4862) erzeugt diese aus der MAC-Adresse (EUI-64), aus einem stabilen Hash aus Netzwerk-Präfix und Host-Geheimnis (RFC 7217) oder kurzlebige Zufallswerte (RFC 4941 Privacy Extensions). Ein /126 oder /127 auf einer Punkt-zu-Punkt-Verbindung funktioniert für statische Konfigurationen technisch, bricht jedoch SLAAC und viele Auto-Funktionen. /64 wird für jedes Subnetz mit Endgeräten empfohlen; /127 nur auf Router-zu-Router-Verbindungen, bei denen Sie volle Kontrolle haben.
Sendet dieses Tool meine IP-Adresse an einen Server?
Nein. Alle Berechnungen laufen client-seitig in Ihrem Browser mit JavaScript-BigInt-Arithmetik. Keine Adresse, kein Präfix und kein berechnetes Ergebnis wird an ein Backend übertragen. Sie können dies im Netzwerk-Tab der Browser-DevTools verifizieren — während der Berechnung gibt es keine ausgehenden Anfragen. Das entspricht der Datenschutz-Erwartung aller browserbasierten ToolAct-Tools.
Was ist der Unterschied zwischen /24 und 255.255.255.0?
Funktional nichts — es sind zwei Schreibweisen derselben Maske. /24 (CIDR-Notation, RFC 4632) zählt die Anzahl führender Eins-Bits; 255.255.255.0 (Punkt-Dezimal-Maske) schreibt diese Bits als Vier-Oktett-Zahl aus. Die meisten modernen Betriebssysteme und Router-Konfigurationen akzeptieren beide Formen. Der Rechner zeigt für jedes eingegebene Präfix beide Schreibweisen, sodass Sie diejenige kopieren können, die Ihr Zielsystem benötigt.
Warum lehnt dieser Rechner Eingaben wie 010.0.0.1 ab?
Führende Nullen (010, 04, 0001) werden abgelehnt, weil dieselbe Zeichenkette in unterschiedlichen IP-Parsern verschiedene Bedeutungen hat — glibcs inet_aton interpretierte Oktette mit führenden Nullen historisch als Oktalzahlen (010 = 8), während modernes Python (3.9.5+) und die JavaScript-Laufzeitumgebung sie als Dezimalzahlen behandeln (010 = 10). Diese stack-übergreifende Uneinigkeit hat reale SSRF-Bypass-Schwachstellen verursacht (CVE-2021-29921 und Verwandte), bei denen ein Dienst 010.0.0.1 in seiner Allowlist-Prüfung als 8.0.0.1 wertet, eine nachgelagerte Bibliothek aber Verbindungen zu 10.0.0.1 aufbaut. Um keine bestimmte Interpretation zu suggerieren, lehnt dieser Rechner jedes Oktett mit führenden Nullen ab — entfernen Sie die Null (010 → 10), bevor Sie einfügen.