Netzwerke · IPv4-Grundlagen
Ein Subnetz bestimmt, welche Geräte direkte Nachbarn sind. Der Planer übersetzt deinen Bedarf in eine konkrete Struktur – ohne dass du Binärzahlen auswendig lernen musst.
Ein physisches Netz, mehrere logisch getrennte Bereiche.
Eine Adresse sagt, welches Gerät gemeint ist. Die Maske sagt, wer als direkter Nachbar gilt. Alles außerhalb erreicht das Gerät über sein Gateway.
Die IP-Adresse kennzeichnet ein Gerät innerhalb eines Netzes. Sie besteht bei IPv4 aus vier Zahlenblöcken. Bei 192.168.10.42 ist ein Teil für das Netz und ein Teil für das einzelne Gerät zuständig – wo die Grenze liegt, bestimmt die Subnetzmaske.
Praxis: Notebook, Drucker und Smartphone benötigen jeweils eine eigene Adresse.
192.168.10.42Die Maske legt fest, welche Adressen zum eigenen direkten Netz gehören. /24 ist die Kurzschreibweise für 255.255.255.0. Dieses Netz enthält 256 Adressen; Netz- und Broadcastadresse sind reserviert, deshalb bleiben 254 nutzbar.
Je kleiner die Zahl hinter dem Schrägstrich, desto größer ist das Netz.
/24 = 254 nutzbare AdressenDas Standard-Gateway ist normalerweise die Adresse des Routers oder der Firewall im jeweiligen Subnetz. Ziele im eigenen Netz werden direkt erreicht. Für Internet, Servernetz oder ein anderes VLAN wird das Paket an das Gateway übergeben.
Ohne korrektes Gateway funktioniert das lokale Netz, aber der Weg nach draußen meist nicht.
192.168.10.1DHCP verteilt automatisch IP-Adresse, Maske, Gateway und meist auch DNS-Server. Eine Adresse wird zeitlich „gemietet“. Für Drucker oder Server kann eine feste DHCP-Reservierung sinnvoller sein als eine manuell eingetragene Adresse.
Der DHCP-Bereich sollte Gateway und fest reservierte Infrastruktur aussparen.
.20 bis .240 dynamischEin VLAN bildet auf verwaltbaren Switches und Access Points ein logisch getrenntes Netz. So können Gäste, Kameras und Mitarbeitende dieselben Kabel und Geräte nutzen, ohne automatisch direkte Nachbarn zu sein.
Dafür müssen Switch, WLAN und Router die VLAN-Kennzeichnung gemeinsam unterstützen.
VLAN 20 · GästeRouting schafft den Weg zwischen Subnetzen. Die Firewall entscheidet anschließend, welcher Verkehr diesen Weg benutzen darf. Eine gute Regel erlaubt nur das Nötige – etwa Gäste zum Internet, aber nicht zum internen Dateiserver.
Trennung ohne passende Firewall-Regeln ist häufig nur unvollständig umgesetzt.
Gäste → Internet · intern gesperrtStell dir jedes Subnetz als eigenes Wohngebiet vor. Bei 192.168.10.42/24 bezeichnet 192.168.10 das Wohngebiet und 42 das einzelne Haus. Ein Datenpaket fährt wie ein Auto zur Zieladresse.
IoT steht für Internet of Things, auf Deutsch „Internet der Dinge“. Gemeint sind vernetzte Alltagsgeräte wie Kameras, Sensoren, Fernseher, Drucker oder smarte Steckdosen. Weil das große I leicht mit einem kleinen l verwechselt wird, schreiben wir im Planer zusätzlich „smarte Geräte“.
Grenze der Analogie: Ein IP-Netz ist kein echter Ort. Die Zuordnung entsteht durch Konfiguration; zwei Geräte können im selben Raum stehen und trotzdem zu getrennten Subnetzen gehören.
Beide Häuser liegen im Wohngebiet 192.168.10.0/24. Das Datenauto erreicht das Ziel direkt; das Gateway wird nicht benötigt.
sichergedacht.de ist ein gut merkbarer Name. Damit dein Browser den richtigen Server erreicht, lässt er diesen Namen über das Domain Name System – kurz DNS – in eine IP-Adresse übersetzen.
Beim ersten Besuch fragt der Resolver zuständige DNS-Server ab. Die Antwort wird zeitlich begrenzt gespeichert.
Die Abfrage erfolgt erst nach deinem Klick.
Missbrauchsschutz: nur öffentliche Domains, keine IP- oder internen Ziele; maximal 12 Abfragen pro Minute und 80 pro Tag. Der Server sieht wie bei jedem Seitenaufruf die Besucher-IP und nutzt daraus einen zeitlich begrenzten Zähler. DNS-Ergebnisse werden höchstens drei Minuten zwischengespeichert.
Der registrierbare Name, zum Beispiel sichergedacht.de. Eine Domain kann auf Webseiten, Mailserver und weitere Dienste verweisen.
Der letzte Abschnitt wie .de, .com oder .online. Er gehört zur hierarchischen Struktur des DNS.
Ein vorangestellter Bereich wie wiki.timstoppa.de. Damit lassen sich Dienste unter einer Domain logisch ordnen.
Die vollständige Adresse einer Ressource. Sie enthält Protokoll, Domain und gegebenenfalls Pfad: https://sichergedacht.de/netzwerke/.
Wie lange eine Antwort zwischengespeichert werden darf, bestimmt ihre TTL. Nach einer DNS-Änderung können deshalb vorübergehend alte und neue Antworten parallel auftauchen.
Das Gerät vergleicht die Zieladresse mithilfe seiner Subnetzmaske. Daraus ergibt sich der nächste Schritt automatisch.
Das Notebook möchte beispielsweise 192.168.10.50 erreichen.
Mit /24 erkennt es: Die ersten drei Zahlenblöcke gehören zum Netz.
Gleiches Netz bedeutet direkte Zustellung. Bei einem anderen Netz geht das Paket an das Gateway.
Router und Firewall suchen einen Weg und prüfen, ob diese Verbindung erlaubt ist.
Keine Daten verlassen deinen Browser. Das Ergebnis ist eine Planungshilfe für private IPv4-Netze.
Diese Bereiche sind für interne Netze reserviert und werden im öffentlichen Internet nicht geroutet. Am Internetzugang übersetzt der Router private Adressen üblicherweise per NAT in eine öffentliche Adresse. Das ist Adressübersetzung – keine vollständige Sicherheitslösung.
Trenne nach Schutzbedarf, nicht nur nach Etage. Gäste, Kameras und IoT benötigen andere Rechte als Mitarbeitende.
Plane Reserve ein, aber verschwende nicht blind riesige Netze. Kleine, verständliche Bereiche sind leichter zu kontrollieren.
Dokumentiere Regeln. Ein VLAN allein blockiert noch nichts; Router und Firewall müssen die gewünschte Trennung umsetzen.