IP-Adressierung und Subnetze

Eine IP-Adresse ist eine eindeutige numerische Kennzeichnung, die jedem Gerät in einem Netzwerk zugewiesen wird und das Routing des Datenverkehrs zwischen Quelle und Ziel ermöglicht. IPv4 verwendet 32-Bit-Adressen (z. B. 192.168.1.10); IPv6 verwendet 128-Bit-Adressen.

Eine IPv4-Adresse besteht aus vier durch Punkte getrennten Oktetten. Jedes Oktett liegt zwischen 0 und 255. Beispiel: 10.0.0.1.

IP-Adressen bestehen aus zwei Teilen: dem Netzanteil (identifiziert das Netzwerk) und dem Hostanteil (identifiziert das Gerät).

Eine Subnetzmaske legt fest, welche Bits zum Netzwerk und welche zum Host gehören. In der CIDR-Notation bedeutet /24, dass die ersten 24 Bits das Netzwerkpräfix bilden.

Beispiel: 192.168.1.0/24 — das Netzwerk ist 192.168.1, die Hosts reichen von .1 bis .254, und der Broadcast ist .255.

Gängige Subnetzgrößen:

• /24 — 256 Adressen, 254 nutzbare Hosts
• /16 — 65.536 Adressen, 65.534 nutzbare Hosts
• /8 — 16,7 Millionen Adressen
• /30 — 4 Adressen, 2 nutzbare (Punkt-zu-Punkt-Verbindungen)

RFC 1918 definiert private Adressbereiche, die im Internet nicht routbar sind:

• 10.0.0.0/8
• 172.16.0.0/12
• 192.168.0.0/16

Öffentliche IP-Adressen sind im Internet routbar und müssen weltweit eindeutig sein.

NAT ermöglicht es mehreren Geräten in einem privaten Netzwerk, eine einzige öffentliche IP-Adresse gemeinsam zu nutzen. Beim Senden von Paketen nach außen ersetzt der Router die private Quell-IP-Adresse durch seine öffentliche IP-Adresse und macht dies bei Antworten rückgängig.

NAT verbirgt die interne Netzwerktopologie vor dem Internet.

Subnetzbildung ist ein wichtiges Sicherheitswerkzeug:

• Platzieren Sie sensible Server in isolierten Subnetzen
• Verwenden Sie VLANs, um den Datenverkehr auf Layer 2 zu segmentieren
• Wenden Sie Firewall-Regeln zwischen Subnetzen an, um den Ost-West-Datenverkehr zu kontrollieren
• Begrenzen Sie Broadcast-Domänen, um die Gefahr des Abhörens zu verringern

Gängige Befehle zum Ermitteln der IP-Konfiguration:

• Linux/Mac: ip addr show oder ifconfig
• Windows: ipconfig /all
• Öffentliche IP-Adresse: curl ifconfig.me

Spezielle Adressen:

• 127.0.0.1 — Loopback (localhost); der Datenverkehr verlässt den Rechner nie
• 0.0.0.0 — alle Schnittstellen (für Routing/Binding verwendet)
• 255.255.255.255 — Broadcast an alle Hosts im lokalen Subnetz

IPv6 verwendet 128-Bit-Adressen, die in hexadezimalen Gruppen geschrieben werden: 2001:0db8:85a3::8a2e:0370:7334. IPv6 macht NAT überflüssig, da jedes Gerät eine weltweit eindeutige öffentliche IP-Adresse erhält, und unterstützt integriertes IPsec.

Während der Aufklärung ermitteln Angreifer Subnetze, um die Netzwerktopologie zu verstehen. Eine gängige Technik:

Damit wird ein Ping-Sweep durchgeführt, um aktive Hosts zu entdecken — hilfreich beim Erfassen der Angriffsfläche.

Welcher IP-Adressbereich ist in RFC 1918 als privat definiert und im Internet nicht routbar?

IP-Adressen identifizieren Geräte in einem Netzwerk eindeutig. Die Subnetzbildung teilt Netzwerke mithilfe der CIDR-Notation in Segmente auf. Private RFC-1918-Adressen werden intern verwendet; NAT ermöglicht es ihnen, öffentliche IP-Adressen gemeinsam zu nutzen. Eine geeignete Subnetzbildung bildet die Grundlage für die Sicherheitssegmentierung von Netzwerken.