Subnetz-Rechner: IPv4- und IPv6-Netze berechnen und sauber aufteilen

Wer ein Firmennetz plant, eine Firewall-Regel schreibt oder beim Provider ein kleines öffentliches Netz bekommt, muss schnell und fehlerfrei wissen, wo ein Netz beginnt, wo es endet und wie viele Geräte hineinpassen. Der Subnetz-Rechner auf s-edv.com nimmt Ihnen das Kopfrechnen ab: Sie geben eine IPv4- oder IPv6-Adresse mit Präfix oder Subnetzmaske ein und erhalten Netzadresse, Broadcast, Hostbereich, Wildcard-Maske, Reverse-DNS-Namen und eine Aufteilung in gleich große Teilnetze. Diese Anleitung zeigt Schritt für Schritt, wie Sie das Werkzeug bedienen, wie Sie die Ergebnisse im Terminal gegenprüfen und wofür Sie die Werte im Alltag eines kleinen oder mittleren Unternehmens brauchen, etwa bei VLAN-Planung, DHCP-Bereichen oder ACLs.

Voraussetzungen

Für das Werkzeug selbst brauchen Sie nur einen aktuellen Browser auf einem beliebigen Rechner, eine Anmeldung ist nicht nötig. Für die Gegenprobe im Terminal genügt ein Linux-, macOS- oder WSL-System mit Python 3, denn das Modul ipaddress gehört zur Standardbibliothek. Wer Reverse-DNS prüfen möchte, braucht zusätzlich dig (Paket dnsutils bzw. bind-utils). An Vorwissen reicht, dass Sie wissen, was eine IP-Adresse ist. Was Präfix, Netzanteil und Hostanteil bedeuten, erklärt Schritt 1.

Um die Netze einzusetzen, brauchen Sie Zugriff auf Router, Firewall, DHCP-Server oder Switch. Für Planung und Dokumentation genügt der Browser.

Schritt 1: Netz eingeben und das Ergebnis lesen

Öffnen Sie den Subnetz-Rechner. Oben steht das Feld „Adresse mit Präfix oder Maske“, darunter der Hinweis „z. B. 192.168.10.50/24 · 10.0.0.1 255.255.255.0 · 2001:db8::1/48“. Der Rechner versteht drei Schreibweisen: Adresse mit Präfix (192.168.10.50/24), Adresse und Maske mit Leerzeichen (10.0.0.1 255.255.255.0) sowie Adresse und Maske mit Schrägstrich (172.20.4.9/255.240.0.0). Einen Knopf zum Berechnen gibt es nicht, das Ergebnis aktualisiert sich beim Tippen. Mit „Leeren“ setzen Sie das Feld zurück.

Kurz zur Theorie: Eine IPv4-Adresse hat 32 Bit. Das Präfix nach CIDR (Classless Inter-Domain Routing, RFC 4632) gibt an, wie viele Bit von links zum Netz gehören, der Rest unterscheidet die Geräte. Bei /24 bleiben 8 Bit für Hosts, also 256 Adressen. Die erste (alle Hostbits 0) ist die Netzadresse, die letzte (alle Hostbits 1) der Broadcast, deshalb sind 254 Adressen nutzbar.

Nach der Eingabe meldet der Rechner direkt unter dem Feld „IPv4 erkannt“ mit einer Kurzzeile, bei 192.168.10.50/24 also „192.168.10.0/24 · 254 nutzbare Hosts“. Darunter folgen die Bit-Leiste, die vier Kacheln „Nutzbare Hosts“, „Adressen“, „Maske“ und „Bereich“ sowie die Detailtabelle mit „Netzadresse“, „Broadcast“, „Erster Host“, „Letzter Host“, „Subnetzmaske“, „Wildcard-Maske“, „CIDR“, „Adressklasse“, „Bereich“, „Hexadezimal“, „Dezimal (32 Bit)“, „PTR-Name“ und „Reverse-Zone“. Jeder Wert hat ein Kopiersymbol, sodass Sie ihn ohne Abtippfehler in eine Konfiguration übernehmen. Ganz unten zeigt die „Binärdarstellung“ Adresse, Maske, Netzadresse und Broadcast als Bitfolgen.

Die Vorlagen unter dem Feld, etwa „100.72.14.3/10“ mit „CGNAT“, laden per Klick ein Beispiel.

Verifizieren: Rechnen Sie dasselbe Netz mit Python nach. Für 172.20.4.9/255.240.0.0 zeigte der Rechner im Test Netzadresse 172.16.0.0/12, Broadcast 172.31.255.255 und 1.048.574 nutzbare Hosts, Python kommt auf dieselben Werte:

python3 -c 'import ipaddress as i; n=i.ip_interface("172.20.4.9/255.240.0.0").network; print(n, n.broadcast_address, n.netmask, n.hostmask, n.num_addresses-2)'
# 172.16.0.0/12 172.31.255.255 255.240.0.0 0.15.255.255 1048574

Schritt 2: Präfix mit Schieberegler und Bit-Leiste verändern

Unter „Präfixlänge“ sehen Sie einen Schieberegler mit den Marken /0, /8, /16, /24 und /32 sowie die Anzeige von „Netzanteil“ und „Hostanteil“ in Bit. Ziehen Sie den Regler, schreibt der Rechner das neue Präfix zurück ins Eingabefeld und rechnet neu. Im Test wurde aus 192.168.10.50/24 beim Wert 20 die Eingabe 192.168.10.50/20, das Ergebnis lautete „192.168.0.0/20 · 4.094 nutzbare Hosts“.

Die Bit-Leiste darunter stellt jede Adresse bitweise dar. Laut Seite gilt: „Farbig: Netzanteil, grau: Hostanteil. Ein Klick auf ein Bit setzt das Präfix bis dorthin.“ Fahren Sie mit der Maus über ein Bit, nennt der Tooltip etwa „Bit 1“ mit dem Präfix, das ein Klick setzt.

Praxisbeispiel: Ihr Büronetz 192.168.10.0/24 ist voll, weil Telefone, Drucker und Gäste-Geräte dazugekommen sind. Mit dem Regler sehen Sie sofort, dass ein /23 die doppelte Größe hat und nur dann passt, wenn das Nachbarnetz 192.168.11.0/24 frei ist. Prüfen Sie den Wechsel im Rechner, bevor Sie DHCP und Gateway anpassen.

Verifizieren: Die Kachel „Maske“ zeigt Präfix und punktierte Maske gemeinsam. Bei /20 muss dort 255.255.240.0 stehen, und die Zahl der nutzbaren Hosts ist 2 hoch 12 minus 2, also 4.094. Gegenprobe: python3 -c 'import ipaddress as i; n=i.ip_network("192.168.10.50/20", strict=False); print(n, n.netmask, n.num_addresses-2)' liefert 192.168.0.0/20, 255.255.240.0 und 4094.

Schritt 3: Prüfen, ob eine Adresse im Netz liegt

Im Abschnitt „Liegt diese Adresse im Netz?“ geben Sie im Feld „Adresse oder Netz prüfen“ eine weitere Adresse oder ein Netz ein. Praktisch etwa, um zu klären, ob ein Drucker mit fester IP im richtigen Netz liegt.

Mit dem Netz 192.168.10.50/24 ergab der Test folgende Antworten: 192.168.10.77 brachte „Ja“ und „192.168.10.77 liegt in 192.168.10.0/24“. 192.168.11.5 brachte „Nein“. Das Netz 192.168.10.128/25 lag laut Rechner im /24, das größere 192.168.0.0/16 dagegen nicht, weil es das /24 umschließt und nicht umgekehrt. Eine IPv6-Adresse gegen ein IPv4-Netz meldete „IPv6-Adresse, das Netz ist IPv4.“, eine ungültige Eingabe wie 10.0.0.300 „Ungültig“.

Darunter steht bei Eingaben mit gesetzten Hostbits zusätzlich der Hinweis „Die Eingabe ist eine Adresse innerhalb des Netzes. Das Netz selbst heißt 192.168.10.0/24.“ Er bezieht sich auf die obere Eingabe, nicht auf das Prüffeld: Sie haben eine Hostadresse eingegeben, die Netzadresse lautet anders. Das ist wichtig, weil viele Systeme (Firewall-Objekte, Routen, Docker-Netze) die saubere Netzadresse erwarten.

Verifizieren: Prüfen Sie Zugehörigkeit und Teilmengen-Beziehung mit Python. Beide Ausgaben müssen zum Rechner passen:

python3 -c 'import ipaddress as i; n=i.ip_network("192.168.10.0/24"); print(i.ip_address("192.168.10.77") in n, i.ip_address("192.168.11.5") in n, i.ip_network("192.168.10.128/25").subnet_of(n), i.ip_network("192.168.0.0/16").subnet_of(n))'
# True False True False

Schritt 4: Netz in Teilnetze aufteilen und als CSV exportieren

Unter „Teilnetze bilden“ wählen Sie zwischen „Anzahl Netze“ und „Ziel-Präfix“. Im Modus „Anzahl Netze“ tragen Sie ein, wie viele gleich große Netze Sie brauchen, im Modus „Ziel-Präfix“ die gewünschte Größe, etwa 27. Die Eingabe /27 mit Schrägstrich funktionierte im Test ebenso. Die Tabelle zeigt pro Teilnetz „Netz“, „Hostbereich“, „Broadcast“ und „Hosts“, das Teilnetz mit Ihrer Ausgangsadresse ist mit „Ihre Adresse“ markiert.

Gleich große Teilnetze gibt es nur in Zweierpotenzen. Bei der Eingabe 3 rundet der Rechner auf und meldet „Teilnetze gleicher Größe gibt es nur in Zweierpotenzen: 3 wurde auf 4 aufgerundet.“ Aus 192.168.10.0/24 werden so vier /26 mit je 62 nutzbaren Hosts: 192.168.10.0, .64, .128 und .192. Ein typisches KMU-Szenario: je ein Netz für Clients, Server, VoIP und Gäste, jeweils als eigenes VLAN.

Mit „CSV herunterladen“ speichern Sie die Aufteilung. Im Test hieß die Datei teilnetze-192-168-10-0-24-in-26.csv, sie ist mit Semikolon getrennt und enthält die Spalten Nr, Netz, Präfix, Maske, Erster Host, Letzter Host, Broadcast und Nutzbare Hosts. Das Semikolon passt zum deutschen Excel.

Verifizieren: Lassen Sie Python dieselbe Aufteilung erzeugen und vergleichen Sie Zeile für Zeile mit der CSV:

python3 -c 'import ipaddress as i; [print(s, s.broadcast_address, s.num_addresses-2) for s in i.ip_network("192.168.10.0/24").subnets(new_prefix=26)]'
# 192.168.10.0/26 192.168.10.63 62
# 192.168.10.64/26 192.168.10.127 62
# 192.168.10.128/26 192.168.10.191 62
# 192.168.10.192/26 192.168.10.255 62

Schritt 5: Sonderfälle /31, /32 und Reverse-DNS

Ein /31 hat nach RFC 3021 zwei nutzbare Adressen ohne Netz- und Broadcast-Adresse und ist für Punkt-zu-Punkt-Verbindungen zwischen Routern gedacht. Der Rechner berücksichtigt das: Bei 10.1.1.0/31 steht unter „Broadcast“ „keine“ mit dem Hinweis „Bei /31 gibt es nach RFC 3021 keinen Broadcast.“, erster und letzter Host sind 10.1.1.0 und 10.1.1.1. Eine Adresse ohne Präfix wie 192.168.1.1 wertet der Rechner als /32 und kennzeichnet sie als „Einzeladresse“, was Sie etwa für Host-Objekte in Firewall-Regeln brauchen.

Für Reverse-DNS liefert der Rechner den „PTR-Name“ der Adresse und die zuständige Zone. Bei Netzen, die nicht auf einer Oktett-Grenze liegen, zeigt er alle betroffenen Zonen, bei 172.16.0.0/12 etwa „16.172.in-addr.arpa … 31.172.in-addr.arpa“ mit dem Hinweis auf 16 Zonen. Bei kleinen Netzen wie einem /29 vom Provider erscheint der Hinweis „Netz kleiner als /24: PTR-Einträge liegen in dieser Zone oder werden nach RFC 2317 delegiert.“ In der Praxis heißt das: Den PTR für Ihren Mailserver tragen Sie meist im Kundenportal des Providers ein, nicht im eigenen DNS.

Verifizieren: Den PTR-Namen bestätigt Python, die tatsächliche Auflösung prüfen Sie mit dig. Die Adresse 203.0.113.7 stammt aus dem Dokumentationsbereich TEST-NET-3 nach RFC 5737, ersetzen Sie sie durch Ihre öffentliche Adresse:

python3 -c 'import ipaddress as i; print(i.ip_address("203.0.113.7").reverse_pointer)'
# 7.113.0.203.in-addr.arpa
dig +short -x 203.0.113.7

Schritt 6: IPv6-Netze berechnen

IPv6 kennt keine punktierte Subnetzmaske und keinen Broadcast, Netze werden nur mit Präfixlänge angegeben. Für ein LAN ist /64 Standard, weil die automatische Adresskonfiguration SLAAC ein /64 voraussetzt. Provider vergeben an Firmenanschlüsse häufig ein /56 oder /48, das Sie selbst in /64-Netze aufteilen.

Geben Sie zum Beispiel 2001:db8:abcd:12::1/48 ein. Der Rechner meldet „IPv6 erkannt“ und zeigt die Kacheln „Adressen“ (2^80), „/64-Netze“ (65.536, „Teilnetze in LAN-Größe“), „Präfix“ und „Typ“, hier „Dokumentation“, weil 2001:db8::/32 nach RFC 3849 für Beispiele reserviert ist. Die Detailtabelle zeigt die Adresse gekürzt nach RFC 5952 und vollständig ausgeschrieben, dazu Netz, erste und letzte Adresse sowie „ip6.arpa-Name“ und „Reverse-Zone“. Link-Local-Adressen mit Zonenangabe wie fe80::1%eth0/64 nimmt das Feld ebenfalls an, der Typ lautet dann „Link-Local“.

Verifizieren: Ausgeschriebene Form, letzte Adresse und Anzahl der /64-Netze lassen sich mit Python bestätigen:

python3 -c 'import ipaddress as i; a=i.ip_interface("2001:db8:abcd:12::1/48"); n=a.network; print(a.ip.exploded, n, n.broadcast_address, 2**(64-n.prefixlen))'
# 2001:0db8:abcd:0012:0000:0000:0000:0001 2001:db8:abcd::/48 2001:db8:abcd:ffff:ffff:ffff:ffff:ffff 65536

Typische Fehler

„Jede Zahl einer IPv4-Adresse muss zwischen 0 und 255 liegen.“ Ein Oktett ist zu groß, etwa 192.168.1.300. Häufige Ursache sind Tippfehler beim Abschreiben aus einer Dokumentation.

„Das Präfix darf bei IPv4 höchstens /32 sein.“ Sie haben zum Beispiel /33 eingegeben. Bei IPv4 sind nur /0 bis /32 möglich.

„Die Maske 255.0.255.0 ist nicht zusammenhängend.“ Eine Subnetzmaske besteht binär aus Einsen, gefolgt von Nullen. Masken mit Lücken stammen meist aus vertauschten Feldern oder sind in Wahrheit Wildcard-Masken aus einer Cisco-ACL.

„Keine gültige IP-Adresse.“ Die Eingabe ist weder IPv4 noch IPv6, zum Beispiel ein Hostname. Der Rechner löst keine Namen auf, ermitteln Sie die Adresse vorher mit dig +short.

„Bitte eine Adresse eingeben“ erscheint bei leerem Feld. Bei den Teilnetzen meldet der Rechner „Die Anzahl muss mindestens 1 sein.“ für 0, „Nicht möglich: /24 lässt sich höchstens in 2^8 = 256 Einzeladressen teilen.“ für 300 und „Das Ziel-Präfix muss zwischen /24 und /32 liegen.“, wenn das Ziel-Präfix kleiner als das Ausgangsnetz ist.

Hostadresse statt Netzadresse übernommen: Kein Fehler des Rechners, aber ein häufiger Konfigurationsfehler. Tragen Sie in Routen und Firewall-Objekten den Wert aus „Netzadresse“ ein, nicht Ihre Eingabe.

Häufige Fragen

Werden meine Eingaben an einen Server übertragen?

Die Seite gibt an: „Läuft komplett in Ihrem Browser“ und „Keine Daten an einen Server“. Im Test blieb die Zahl der Netzwerkanfragen während aller Berechnungen gleich. Beachten Sie, dass die Eingabe in der Adresszeile hinter dem #-Zeichen steht. Dieser Teil wird nicht an den Server gesendet, landet aber im Browserverlauf und in geteilten Links.

Kann ich ein Ergebnis mit Kollegen teilen?

Ja. Die Adresszeile enthält Eingabe und Teilnetz-Einstellung, etwa #a=192.168.10.50%2F24&s=4. Wer den Link öffnet, sieht dieselbe Berechnung.

Was bedeutet die Adressklasse?

Die Klassen A, B und C stammen aus der Zeit vor CIDR. Der Rechner zeigt sie nur noch zur Orientierung an, mit dem Hinweis, dass sie für Routing und Masken keine Rolle mehr spielen.

Darf ich 100.64.0.0/10 im eigenen Netz verwenden?

Der Bereich ist nach RFC 6598 für Carrier-Grade-NAT bei Providern vorgesehen, der Rechner kennzeichnet ihn als „CGNAT“. Im LAN sollten Sie bei den privaten Bereichen nach RFC 1918 bleiben, sonst drohen Überschneidungen mit dem Provider oder mit VPN-Diensten, die diesen Bereich nutzen.

Testumfang

Getestet wurde der Rechner am 1. Oktober 2026 in einem Chromium-Browser mit privaten, öffentlichen, CGNAT-, /31-, /32- und IPv6-Adressen sowie mehreren Fehleingaben. Netzadresse, Broadcast, Hostzahlen, Masken, PTR-Namen, Teilnetz-Tabelle und CSV-Inhalt stimmten in allen Fällen mit Python ipaddress überein. Einen Rechenfehler haben wir nicht gefunden.

Fazit

Der Subnetz-Rechner deckt den Alltag der Netzplanung gut ab: Netzgrenzen, Hostbereiche, Wildcard-Masken für ACLs, Reverse-Zonen und eine exportierbare Teilnetz-Tabelle für VLAN- und DHCP-Planung. Die Fehlermeldungen sind konkret und erklären die Ursache. Bevor Sie Werte in eine produktive Firewall oder einen DHCP-Server übernehmen, lohnt die kurze Gegenprobe mit Python, vor allem wenn mehrere Personen an der Planung beteiligt sind.

Weiterführende Anleitungen und Quellen

• VLANs verstehen und auf einem Managed Switch einrichten
• Zero-Trust-Netzwerksegmentierung im KMU: VLANs, Firewall-Regeln und Mikrosegmentierung
• Feste IP, Gateway und DNS unter Windows und Linux setzen
• Reverse DNS (PTR) und IPv6 für Mailserver korrekt einrichten
• RFC 4632: Classless Inter-Domain Routing (CIDR)
• RFC 1918: Address Allocation for Private Internets
• RFC 3021: Using 31-Bit Prefixes on IPv4 Point-to-Point Links
• RFC 2317: Classless IN-ADDR.ARPA delegation
• RFC 5952: A Recommendation for IPv6 Address Text Representation
• Python-Dokumentation: ipaddress