Subnetzmaske

[Chrissi007]

Hi Leute,

nachdem ich mir diesen Artikel (Wikipedia) durchgelesen habe, stellt sich mir in Bezug zu diesem Absatz eine Frage:

Beispiel 2: 172.16.0.0/16 und 172.16.0.0/24 unterscheiden sich dadurch, dass das erste Netz die IP-Adressen 172.16.0.1 bis 172.16.255.254 umfasst, während das zweite nur den Bereich 172.16.0.1 bis 172.16.0.254 beinhaltet.

Ich habe drei Standorte, die ich mit folgenden LAN IP-Adressen ausstatten möchte und die sich untereinander per VPN zusammenschließen. Jeder Rechner soll auf jeden anderen Rechner/Server zugreifen können. Ein Client-PC soll immer auf einen x-beliebigen Server eines anderen Standortes und des eigenen Standortes zugreifen können:

Standort 1
10.1.52.1 - 10.1.52.254 für Server, Router, etc.
10.1.16.1 - 10.1.16.254 für Client-PCs

Standort 2
10.2.52.1 - 10.2.52.254 für Server, Router, etc.
10.2.16.1 - 10.2.16.254 für Client-PCs

Standort 3
10.3.52.1 - 10.3.52.254 für Server, Router, etc.
10.3.16.1 - 10.3.16.254 für Client-PCs

Wenn ich es richtig sehe, wäre jeweils der Netzbereich 10.X.X.X/8 der korrekte, oder? Sprich also eine Subnetzmaske von 255.0.0.0, oder?
Angenommen, ich setze den Netzbereich falsch, z.B. auf 10.X.X.X/16 - mit welchen Fehlern ist dann zu rechnen?

 

[Stock86]

Standort 1
10.1.52.1 - 10.1.52.254 für Server, Router, etc.
10.1.16.1 - 10.1.16.254 für Client-PCs

Standort 2
10.2.52.1 - 10.2.52.254 für Server, Router, etc.
10.2.16.1 - 10.2.16.254 für Client-PCs

Standort 3
10.3.52.1 - 10.3.52.254 für Server, Router, etc.
10.3.16.1 - 10.3.16.254 für Client-PCs

Wenn du die Netze logisch voneinander trennen willst, funktioniert das nicht mit einer 8er Maske, da diese den kompletten Bereich von 10.0.0.1 - 10.255.255.254 abdecken würde und sich somit quasi alle 3 Standorte in einem großen Netz befinden.

Bei einer 16er Maske könntest du zum Beispiel in diese Bereiche unterteilen.

10.1.0.1 - 10.1.255.254
10.2.0.1 - 10.2.255.254
10.3.0.1 - 10.3.255.254

 

[d0zer]

Falsche Subnetzmaske = Falsches Subnetting/Aufteilung der Netze -> nicht erreichbare Clients/Server

 

[unusual]

rechne doch einfach aus wieviel du brauchst und wie sehr die Firma in den nächsten Jahren expandieren "könnte".

 

[Joe Dalton]

MoinMoin,

nachdem ich mir diesen Artikel (Wikipedia) durchgelesen habe, stellt sich mir in Bezug zu diesem Absatz eine Frage:
Wie entscheidend ist es, die Netzmaske "korrekt" zu setzen?

Die Subnetzmaske hilft dem Client bei der Entscheidung, ob sein Netzwerkziel direkt (im gleichen Subnetz) oder über das Gateway angesprochen werden kann. Insofern kann man sagen, dass ohne korrekte Subnetzmaske Dein Netzwerk nicht mehr oder nur noch eingeschränkt funktioniert.

Wieso sollte ich das Netz auf beispielsweise 172.16.0.0/24 setzen, wenn ich mir dadurch weniger Optionen offen halte, als bei 172.16.0.0/16?
Ist es nicht etwa sinnvoller, immer den größeren Netzbereich für die Zukunft "offen" zu halten?

Zu große wie auch zu kleine Subnetze sind immer ärgerlich, aber es hängt von deutlich mehr Faktoren als nur der Länge der Subnetzmaske ab.

Wenn ich es richtig sehe, wäre jeweils der Netzbereich 10.X.X.X/8 der korrekte, oder? Sprich also eine Subnetzmaske von 255.0.0.0, oder?
Angenommen, ich setze den Netzbereich falsch, z.B. auf 10.X.X.X/16 - mit welchen Fehlern ist dann zu rechnen?

/24 wäre für die standorteigenen Subnetze die passende Maske, um keinen Wildwuchs zu haben. In jedem Netz gibt es einen Router (z.B. L3-Switch), der Pakete für die anderen Standorte an die Firewall/das VPN-Gateway schickt. In den Tunneldefinitionen für die VPN kannst Du die jeweiligen Standortnetze mit /16 zusammenfassen, um den Konfigurationsaufwand zu minimieren.


Wenn Du etwas in der Art planst, solltest Du über mehr Wissen verfügen. Lass es in Deinem Beispiel jemanden mit Erfahrung machen und lerne von ihm.


Cu,
Christian

 

[Chrissi007]

Wow, vielen Dank für die schnellen und hilfreichen Antworten! Ich versuche hier noch mehr zu lernen! Insbesondere auch das Kapitel VLAN ist für mich noch Neuland... Ich hatte eine erste Testkonfiguration mit 10.X.X.X/8 aufgesetzt und hatte mich gewundert, weshalb kein DHCP funktioniert... Ich probier das die kommenden Tage nochmals mit 10.X.X.X/16!
Danke soweit!

 

[Joe Dalton]

Insbesondere auch das Kapitel VLAN ist für mich noch Neuland...

VLANs arbeiten auf Layer 2...

Ich hatte eine erste Testkonfiguration mit 10.X.X.X/8 aufgesetzt und hatte mich gewundert, weshalb kein DHCP funktioniert... Ich probier das die kommenden Tage nochmals mit 10.X.X.X/16!

...und DHCP/IP auf Layer3.

DHCP relay/helper sind da die relevanten Stichwörter.


Cu,
Christian

 

[Eagle_B5]

Desweiteren vergiebt ein DHCP Server Leases nur im von ihm angeschlossenen Subnetz (wie im Netzwerkinterface konfiguriert). Fuer Vergaben von Leases ueber Subnetze hinweg (logisch getrennt durch VLANs), werden wie bereits erwaehnt Relay/Helper Eintraege benoetigt.

 

[Chrissi007]

Wenn der DHCP-Host (= pfSense Router) die IP-Adressen nur innerhalb des Subnetzes vergibt, bedeutet das dann, dass die jeweiligen Standort-Netze mit 10.X.X.X/24 anstelle von 10.X.X.X/16 konfiguriert werden müssen?
Um bei dem oben erwähnten Beispiel von Standort 1 zu bleiben, würde dies bedeuten, dass der Router innerhalb des Netzes 10.1.52.0/24 läuft und IP-Adressen zwischen 10.1.52.1 - 10.1.52.254 vergibt, oder?
Für Client-PCs, etc. eröffne ich ein VLAN, das dann beispielsweise den Adressbereich 10.1.16.1 - 10.1.16.254 abdeckt?
Analog würde ich das dann für jeden Standort machen (10.1.X.X, 10.2.X.X, 10.3.X.X) und die Netze dann per OpenVPN miteinander verbinden? Gibt es beim Verbinden der Standorte in Bezug auf die Netzmaske etwas besonderes zu beachten?

Danke nochmals für eure Hilfe! Der Punkt VLAN ist noch offen, hab aber soeben Lektüre zum Lesen bestellt!

 

[Raijin]

Du fragst uns wie groß deine Subnetze sein müssen? Ein Subnetz ist so groß wie es vom IT-Admin definiert wird. Es muss groß genug sein, um alle Hosts aufzunehmen (+ Luft nach oben!), und klein genug, um möglichst wenig Konfliktpotential mit anderen Subnetzen zu haben.

Ein /24 Subnetz umfasst 256 IP-Adressen - abzüglich der Subnetz- und der Broadcast-Adresse. Ein /22er bietet 4*256-2=1024 IPs, ein /20er ganze 16*256-2=4094 IPs und ein /16er 256*256-2=65534 IPs. Wieviel Platz du brauchst musst du selbst wissen. Je nach Standortgröße kann zB ein /24er Subnetz vollkommen ausreichend sein oder eben zu klein. In einer Firma mit 40-50 Angestellten, diversen Servern, Druckern, etc. reicht ein /24er Subnetz in der Regel aus. Bei 200+ Mitarbeitern wohl eher nicht..

Geht es hierbei um eine Aufgabe aus der Schule oder der Uni? Das wird hier im Forum zwar nicht gern gesehen, aber ich hoffe inständig, dass es sich bei deinem Anliegen nicht um eine Firma handelt... Nichts gegen dich persönlich, aber die Administration von Firmennetzwerken gehört in kompetente Hände. Wenn es schon am Basiswissen über IP-Adressen und Subnetzmasken mangelt und du dafür Wikipedia lesen bzw. hier nachfragen musst, dann habe ich .. .. gewissen Bedenken.....

 

[Chrissi007]

Hehe... Vielleicht hätte ich das ins erste Posting schreiben sollen: das alles hat weder mit Schule, Uni oder Arbeit zu tun ist. Es sollen die Netzwerke von drei Häusern von Kumpels und Familie miteinander verbunden werden! Mehr nicht!
Bisher hat das in jedem Standort eine Fritzbox übernommen. Mit der Fernzugang-Einrichten-Software von AVM waren die Fritzboxen schnell miteinander verbunden. Auf Dauer waren wir aber mit der VPN-Verbindungsqualität zwischen den Fritzboxen nicht zufrieden. Es gibt hierzu unzählige Themen im Internet bezüglich Verbindungsabbrüchen, etc. Wenn die VPN-Verbindung voll ausgelastet wird, kommt es zu Instabilitäten. Aber gut: man darf auch nicht erwarten, dass der kleine Prozessor in einer Fritzbox hohen VPN-Throughput schafft...

Jedenfalls habe ich mich dann nach Alternativen umgesehen und bin bei pfSense rausgekommen... Ich habe alte Rechner, die ich auch gerne für pfSense "recyclen" würde...
Nachdem ich mich dort etwas eingelesen hatte, bin ich auch auf das Stichwort VLAN aufmerksam geworden. Mir hat die Idee gefallen, einzelne Rechner in Gruppen zusammenzufassen oder beispielsweise eigene VLANs für Gäste zu erzeugen. Pro VLAN würden ca. 10 IPs allemal reichen!

Ich hatte am letzten Wochenende probiert, den ersten Haushalt auf pfSense umzustellen - was aber wie beschrieben ja nicht erfolgreich verlief... Ich denke mein Problem hier war einfach die DHCP Konfiguration...
Wer weiß, vielleicht ist pfSense für den Privatgebrauch ja auch ein Overkill, aber mir machts einfach Spaß, sich in solche Themen einzuarbeiten. Es ist wie ein PC-Spiel, das man halt meistern muss

Ich denke, mein Fehler war, dass ich das LAN-Interface des pfSense-Routers auf 10.1.16.1/8 konfiguriert hatte... Als ich dann an meinem PC, der am selben Switch wie der pfSense-Router angeschlossen ist, um eine IP-Adresse vom DHCP-Host gebeten habe, kam da nix an (auch ein mehrmaliges ipconfig /release - ipconfig /renew hat da nix gebracht)... Aber wenn ich das jetzt richtig kappiert hab, sollte es mit 10.1.16.1/24 ja hinhauen, oder?... Ich benötige für Clients nur die IP-Adressen zwischen 10.1.16.1 - 10.1.16.254.... und wie gesagt reichen ca. 10 IPs...

 

[Joe Dalton]

MoinMoin!

Hehe... Vielleicht hätte ich das ins erste Posting schreiben sollen: das alles hat weder mit Schule, Uni oder Arbeit zu tun ist. Es sollen die Netzwerke von drei Häusern von Kumpels und Familie miteinander verbunden werden! Mehr nicht!

Achso... ein Projekt mit viel Aufwand und wenig Nutzen.

Aber gut: man darf auch nicht erwarten, dass der kleine Prozessor in einer Fritzbox hohen VPN-Throughput schafft...

Du solltest kleinere Brötchen backen. Wieviel Bandbreite Up-/Downstream hast Du denn?
Ich kenne Außenstellen städtischer Betriebe, die über FritzBoxen preiswert via VPN angebunden werden.

Jedenfalls habe ich mich dann nach Alternativen umgesehen und bin bei pfSense rausgekommen... Ich habe alte Rechner, die ich auch gerne für pfSense "recyclen" würde...

Hast Du mal den Stromverbrauch geprüft? Wie verhält es sich ggfs. mit VoIP bei den Anschlüssen? pfSense *hinter* den jeweiligen Routern erfordert noch ein wenig Konfigurationsarbeit an den Routern.

Nachdem ich mich dort etwas eingelesen hatte, bin ich auch auf das Stichwort VLAN aufmerksam geworden. Mir hat die Idee gefallen, einzelne Rechner in Gruppen zusammenzufassen oder beispielsweise eigene VLANs für Gäste zu erzeugen. Pro VLAN würden ca. 10 IPs allemal reichen!

Welche VLAN-fähigen Switches hast Du denn?

Ich hatte am letzten Wochenende probiert, den ersten Haushalt auf pfSense umzustellen - was aber wie beschrieben ja nicht erfolgreich verlief... Ich denke mein Problem hier war einfach die DHCP Konfiguration...

DHCP war bestenfalls ein Problem. Die restlichen hast Du entweder nicht bemerkt oder wärst später darauf gestoßen.

Wer weiß, vielleicht ist pfSense für den Privatgebrauch ja auch ein Overkill, aber mir machts einfach Spaß, sich in solche Themen einzuarbeiten. Es ist wie ein PC-Spiel, das man halt meistern muss

Es gibt Bereiche, die sind keine Spielplätze. Dazu zähle ich auch Internetanschlüsse und öffentlich erreichbare Systeme...
pfSense kann so ziemlich alles, was Du brauchst. Alternativ gibt es noch die "private" Sophos UTM. Entsprechendes Wissen wirst Du bei jedem System brauchen und offensichtlich fehlt es Dir (noch).

Ich denke, mein Fehler war, dass ich das LAN-Interface des pfSense-Routers auf 10.1.16.1/8 konfiguriert hatte... Als ich dann an meinem PC, der am selben Switch wie der pfSense-Router angeschlossen ist, um eine IP-Adresse vom DHCP-Host gebeten habe, kam da nix an (auch ein mehrmaliges ipconfig /release - ipconfig /renew hat da nix gebracht)... Aber wenn ich das jetzt richtig kappiert hab, sollte es mit 10.1.16.1/24 ja hinhauen, oder?... Ich benötige für Clients nur die IP-Adressen zwischen 10.1.16.1 - 10.1.16.254.... und wie gesagt reichen ca. 10 IPs...

VLAN, DHCP und Sunetzmasken haben zwar grundsätzlich irgendwo in der Netzwerkwelt miteinander zu tun, aber Deine Vermutung ist nicht mehr als hilfloses raten.

-> Basiswissen aneigneten, in einer virtuellen Umgebung rumspielen und dann kann es nochmal an die Implementierung gehen.


Cu,
Chris

 

[Chrissi007]

Hi Chris,

danke für deine Antwort.

Dein Posting klingt so, als wüsstest du eine gute Alternative. Kennst du denn preiswerte Alternativ-Optionen mit hohen VPN-Durchsatz? Wie gesagt ist mir eine stabile VPN Verbindung wichtig! Der Throughput sollte mind. bis 200 Mbit/s abdecken (gerne noch mehr, um gerüstet zu sein für die Zukunft). Die jetzigen Anschlüsse variieren in der Geschwindigkeit von DSL16k bis FTTH 200/100.

Ich würde pfSense *vor* dem Router betreiben. Mein Plan ist es, die alte Fritzbox ausschließlich für VoIP zu nutzen und je nach Standort die Fritzbox mit einem eigenen Interface an den pfSense Router anschließen oder aber in ein priorisiertes VLAN stecken (je nachdem, ob der Standort einen VLAN-fähigen Switch hat).
Stromverbrauch habe ich geprüft, drum bin ich bei den Rangeley Atoms C2358 - C2758 und Xeon D gelandet (mit AES-NI und Quick Assist). Ich möchte aber zum Testen vorerst meine alten Rechner verwenden und sofern ich mit pfSense klar komme, wenn notwendig, durch neuere ersetzen. Aktuell teste ich mit Atom N330.

Wie auch immer, irgendwo muss man ja anfangen... Wenn ich mich nirgendwo rantraue, dann würde ich heute noch in der Krabbelbox sein

 

[Raijin]

Nur weil es eine Technik gibt, muss man sie nicht (blind) anwenden. VLANs nutzt man, um innerhalb eines gemeinsamen physischen Netzwerk (=Kabel/Switches) mehrere getrennte Netzwerke aufzubauen. Wenn du keinen konkreten Anwendungsfall hast, dann lass das erstmal weg. Ich selbst nutze zB keinerlei VLANs, weil ich einfach keine brauche - egal wie cool und interessant VLANs auch sein mögen

Du versuchst hier, nicht nur von 0 auf 100, sondern gleich von 0 auf 300 zu kommen - ohne jedwedes Hintergrundwissen. Dein Enthusiasmus in allen Ehren, aber fang klein an und arbeite dich Stück für Stück vor. Gerade dann, wenn du die pfSense vor die Fritzboxxen setzen willst, musst du sehr sehr sehr vorsichtig sein. Script-Kiddies nehmen dir die Kiste derart schnell auseinander, wenn du nicht aufpasst. Sichere Passwörter, sichere Firewall-Einstellungen, etc.. Was meinst du woher die Botnetze von anonymous und Co kommen, wenn sie mal wieder Sony und Co per DDoS-Attacke lahmlegen? Genau, schlecht gesicherte 08/15-Server, die zB mit Standard-Login admin/admin gekapert werden. Pass auf, dass du nicht den nächsten Bot baust - oder gleich drei davon...

Wie dem auch sei, zurück zum Thema: 200 Mbit/s wirst du per VPN nicht hinbekommen. Es gilt der kleinste gemeinsame Nenner bei Up-/Download. Wenn du einen Anschluss mit 200/100 Mbit/s mit einem VDSL25 (25/5) verbindest, wirst du maximal 25/5 durch das VPN bekommen, weil die VDSL25-Seite einfach nicht mehr kann. Alles was du von Standort1 aus bei Standort2 runterladen willst, muss Standort2 zwangsläufig hochladen. Bei VDSL25 + DSL16, sieht es noch düsterer aus, weil dann sogar nur 5/1 dabei rauskommt - 5 Mbit/s Upload vom VDSL25 und 1 Mbit/s Upload vom DSL16. Genau genommen wird es sogar noch weniger, weil der Traffic im VPN gekapselt wird und man den Overhead abziehen muss, gefühlt 10-20%.

 

[Chrissi007]

Hehe, ich find's super, dass ihr hier so besorgt seid Ich klammer mal den Punkt VLAN zunächst aus und taste mich mal vorsichtig an die Grundlagen von pfSense ran... Hab mir gerade auch noch einen dicken Netzwerk-Wälzer bei Amazon bestellt der Netzwerk-Grundlagen bis hin zu VLAN vermittelt (hoffentlich).

@ Raijin: Danke, das mit den Geschwindigkeiten ist mir natürlich klar Aber im Rahmen der Zukunftssicherheit fände ich es nicht schlecht, wenn die Hardware ein bisschen Reserve hat, um auch zukünftige FTTH-Tarife mit evtl. noch höheren Geschwindigkeiten ausreizen zu können

Ich meld mich, sobald es was neues gibt! Wahrscheinlich ist erst mal Schicht im Schacht, weil ich nimmer ins I-Net komme, hehe... mal schauen...

 

[Joe Dalton]

Dein Posting klingt so, als wüsstest du eine gute Alternative. Kennst du denn preiswerte Alternativ-Optionen mit hohen VPN-Durchsatz? Wie gesagt ist mir eine stabile VPN Verbindung wichtig! Der Throughput sollte mind. bis 200 Mbit/s abdecken (gerne noch mehr, um gerüstet zu sein für die Zukunft). Die jetzigen Anschlüsse variieren in der Geschwindigkeit von DSL16k bis FTTH 200/100.

Einen Durchsatz von 200 Mbit/s wirst Du nicht so einfach hinbekommen, dazu ist schon etwas leistungsfähigere HW notwendig. Schau Dir einfach mal prof. HW und die Preise an. Die entsprechenden Atoms sollten für die ersten Versuche reichen.

Ich würde pfSense *vor* dem Router betreiben. Mein Plan ist es, die alte Fritzbox ausschließlich für VoIP zu nutzen und je nach Standort die Fritzbox mit einem eigenen Interface an den pfSense Router anschließen oder aber in ein priorisiertes VLAN stecken (je nachdem, ob der Standort einen VLAN-fähigen Switch hat).

Erstelle Dir einfach mal einen Plan mit den entsprechenden Geräten: Modem (falls bei Dir der Provider nicht gleich Ethernet ausspukt), Router/Firewall, VoIP-Telefon/-Anlage.
Wenn Du weißt, wie Du via Modem und eigene Firewall auf Deine Fritz!Box kommst und Telefonie dann immer noch funktionieren kann, dann können wir uns weiter unterhalten. Andersfalls wird Dir wenig übrigbleiben und die Fritz!Boxen bleiben jeweils direkt am Anschluss und Deine FW kommt hintendran. Dann müsstest Du VPN Passthrough an der Fritz!Box einrichten.

Wie gehst Du das Thema mit den wechselnden IP-Adressen an? Oder haben Deine Anschlüsse alle eine statische IP-Adresse?

Stromverbrauch habe ich geprüft, drum bin ich bei den Rangeley Atoms C2358 - C2758 und Xeon D gelandet (mit AES-NI und Quick Assist). Ich möchte aber zum Testen vorerst meine alten Rechner verwenden und sofern ich mit pfSense klar komme, wenn notwendig, durch neuere ersetzen. Aktuell teste ich mit Atom N330.

Falls nicht schon vorhanden, dann schau Dir NAS-Boxen von Qnap oder Synology an. Die haben VPN-Funktionalitäten integriert und ersparen Dir wahrscheinlich viel Lehrgeld und Schmerzen. Dann musst Du Dir nur noch Gedanken über das (intelligente) Routing machen.

Wie auch immer, irgendwo muss man ja anfangen... Wenn ich mich nirgendwo rantraue, dann würde ich heute noch in der Krabbelbox sein

Genau dafür gibt es virtuelle Umgebungen, in denen man es testen gefahrlos(!) kann. Öffentliche Internetanschlüsse sind keine Spielplätze. Oder hast Du Fahrradfahren auf der Autobahn gelernt? Bei Deinem Spruch greift eher die natürliche Selektion und der Darwinsche Gedanke...

Cu,
Christian