|
P-Adressen werden im Format x.x.x.x dargestellt, wobei die Punkte nur der besseren
Lesbarkeit dienen; die Netzwerkkomponenten lesen die dargestellte Zahl als eine
Zahl. Jedes ,x' kann (theoretisch) Werte zwischen 0 und 255 (28 = 1 byte = 8 bit) annehmen.
Die IP-Adresse ist also eine Zahl mit 32 bit.
Um dieses Zahlenformat zu verstehen, muss man sich klarmachen, dass ein bit nur
die Werte 0 und 1 annehmen kann. Daher werden die IP-Adressen häufig in dualer
Schreibweise dargestellt, Beispiele:
Wertigkeit 27 26 25 24 23 22 21 20
Bit-Nr. 7 6 5 4 3 2 1 0
Bit-Wert 1 1 1 1 1 1 1 1
Dezimalwert 128 64 32 16 8 4 2 1
Summe 255
Wertigkeit 27 26 25 24 23 22 21 20
Bit-Nr. 7 6 5 4 3 2 1 0
Bit-Wert 1 0 1 0 1 0 1 0
Dezimalwert 128 0 32 0 8 0 2 0
Summe 170
Das duale Zahlensystem basiert also auf der Zahl 2, während wir es gewohnt sind,
mit dem dezimalen Zahlensystem zu arbeiten, das auf der Zahl 10 basiert. Beim dezimalen
Zahlensystem ist die rechte Ziffer einer jeden Zahl mit 100 (also mit 1), die
nächste, links danebenliegende Ziffer mit 101 (also mit 10) usw. zu multiplizieren,
beim dualen System ist mit 20 (also mit 1), 21 (also mit 2) usw. zu multiplizieren.
Von den Standardisierungsgremien sind die IP-Adressen in fünf Klassen aufgeteilt
worden, von denen nur die drei Klassen A, B und C von praktischer Bedeutung sind.
Klasse A Adressen können theoretisch Werte von 1.0.0.0 bis 126.255.255.255, Klasse
B Adressen von 128.0.0.0 bis 191.255.255.255 und Klasse C Adressen von
192.0.0.0 bis 223.255.255.255 annehmen.
Tabellarisch sieht das wie folgt aus:
Adress-
Klasse
als Standard
vorgegebene
bits
resultierender
Wertebereich
des ersten
Byte
(dezimal)
Netzwerk-
(N)/
Rechner- (R)
Teil*
Anzahl der
möglichen
Netze
Anzahl der verfügbaren
Rechneradressen
Klasse A 0xxx xxxx 0 - 127 N.R.R.R 256 16.777.216
Klasse B 10xx xxxx 128 - 191 N.N.R.R 65.536 65.536
Klasse C 110x xxxx 192 - 223 N.N.N.R 16.777.216 256
* wird im Zusammenhang mit der Subnetzmaske erläutert
Wie Sie der Tabelle entnehmen können, ist für ein Klasse A-Netz das erste bit des
ersten bytes vorgeschrieben (muss ,0' sein), während für Klasse-B- bzw. Klasse-CNetze
die ersten beiden bzw. drei bits vom Standardisierungsgremium vorgegeben
sind.
19
___________________________
Begriffserläuterungen
Für lokale Netze ohne Internetanbindung gibt es ausgesuchte Nummernkreise, die
von keinem Router nach außen gegeben werden und mit denen man daher lokale
Netze betreiben kann. Diese \"privaten\" Adressen sind:
· Class-A-Netz: 10.0.0.0 - 10.255.255.255
· Class-B-Netz: 172.16.0.0 - 172.31.255.255
· Class-C-Netz: 192.168.0.0 - 192.168.255.255
Die Werkseinstellung der Vigor-Routers hat sich aus diesem Nummernkreis die Nr.
192.168.1.1 für die eigene Adressierung herausgesucht und schlägt vor, den angeschlossenen
Rechnern bei aktiviertem DHCP-Server 50 Nummern ab der Nr.
192.168.1.10 zuzuteilen. Diese Nr. vermittelt der Router nicht in das Internet, weil die
Nrn. für den externen Verkehr gar nicht zugelassen sind. Vielmehr erhält der Router
bei der Einwahl entweder vom Provider eine (in der Regel ständig wechselnde) IPAdresse
bzw. nimmt die Verbindung mit einer vom Provider fest zugeteilten IPAdresse
auf. Im Internet verkehrt der Rechner daher mit der vom Provider zugeteilten
IP-Adresse, die der Router für den internen Verkehr auf die Adresse umsetzt
(z.B. 192.168.1.10 bis 192.168.1.59), die er diesem Rechner selbst zugeteilt hat
(bzw. bei fester Vergabe der IP-Adresse: mit der Adresse, unter der er mit dem
Rechner in Verbindung steht).
Es leuchtet ohne weiteres ein, dass insbesondere ein Klasse-A-Netz mit bis zu
16.777.216 möglichen Rechnern unmöglich von einer Person verwaltet werden kann.
Aus diesem Grunde gibt es die Möglichkeit, ein Netz durch eine so genannte Subnetzmaske
(Subnet Mask) zu unterteilen. Dabei muss man sich diese Maske wie eine
Art Filter vorstellen, der die IP-Adresse in einen Netzwerk-Teil und in einen Rechner-
Teil aufspaltet. Jedes bit, welches in der Subnet-Maske auf ,1' gesetzt ist, gibt
an, dass es sich bei dem korrespondierenden Teil der IP-Adresse um einen Teil der
Netzadresse handelt, während eine ,0' angibt, dass das korrespondierende bit der
IP-Adresse zur Rechneradresse gehört.
Einige Beispiele:
Die Default-Subnetzmasken, also die Masken, die anzuwenden sind, wenn man keine
weitere Unterteilung haben will, sehen wie folgt aus:
Adress-Klasse Default-Subnetzmaske (binär) Subnetzmaske (dezimal)
Klasse A 11111111.00000000.00000000.00000000 255.0.0.0
Klasse B 11111111.11111111.00000000.00000000 255.255.0.0
Klasse C 11111111.11111111.11111111.00000000 255.255.255.0
Ändert z.B. der Verwalter eines Klasse-B-Netzes die vorbeschriebene Default-
Subnetzmaske für dieses Netz nicht, liegen alle 65.536 Rechner, die ein solches
Netz umfassen kann, in einem Netz, denn die beiden letzten byte jeder IP-Adresse
geben bereits konkrete Rechner und nicht Netzwerke an (Beispiel: Der Betreiber des
Klasse-B-Netzes hat die Nr. 128.159.xxxx.yyyy für sein Netz zugeteilt bekommen.
Gleichgültig welche Zahlen für xxxx oder yyyy (zwischen 0 und 255) eingesetzt wer20
___________________________
Begriffserläuterungen
den, werden immer Rechner in demselben Netz angesprochen: 128.159.133.1 liegt
in demselben Netz wie z.B. 128.159.1.189, 128.159.1.23, 128.159.77.89 usw.)
Ändert der Verwalter dagegen die Default-Subnetzmaske für ein Klasse-B-Netz in
255.255.255.0, so hat er damit 253 Subnets geschaffen (0, 127 und 255 sind für besondere
Zwecke reserviert): Jetzt liegen im oben gebildeten Beispiel zwar die Adressen
128.159.2.1 und 128.159.2.15 in demselben Netz, jedoch nicht die Adressen
128.159.12.1, 128.159.12.15, 128.159.78.1, 128.159.78.187 usw..
Will der Verwalter nur zwei Netze schaffen, so kann er das mit der Subnetzmaske
255.255.128.0 (binär 11111111.11111111.10000000.00000000) schaffen. Bei dieser
Subnetzmaske ist nur das erste bit im dritten byte gesetzt, was bedeutet, dass die
Rechner mit der Adresse 128.159.1.xxxx bis 128.159.126.xxxx in dem einen und die
Rechner mit der Adresse 128.159.128.xxxx bis 128.159.254.xxxx im anderen Netz
liegen.
Mit der Subnetzmaske 255.255.192.0 (binär
11111111.11111111.11000000.00000000) lassen sich in einem B-Klasse Netz vier
Subnetze bilden.
Für ein C-Klasse-Netz sehen die Subnetzmasken wie folgt aus:
255.255.255.0 (binär 11111111.11111111. 11111111.00000000) >
255 Rechner in einem Netz
255.255.255.128 (binär 11111111.11111111. 11111111.10000000) >
2 Netze mit ca. 128 Rechnern
255.255.255.192 (binär 11111111.11111111. 11111111.11000000) >
4 Netze mit ca. 64 Rechnern
Sie werden sich jetzt an dieser Stelle natürlich fragen, welchen Sinn eine Subnetzmaske
bei den Filterregeln eines Routers machen soll, denn durch diese Filterregeln
werden natürlich keine Subnetze gebildet. Die Antwort lautet, dass die Subnetzmaske
als Filter fungiert, um ganze Bereiche von IP-Adressen zuzulassen oder zu sperren.
Wenn Sie eine Regel definieren, nach der eine ausgehende Verbindung auf Port
25 (=SMTP=ausgehende Mail) nur an die Adresse 194.25.134.97 gerichtet werden
darf und jetzt als Subnetzmaske 255.255.255.255 angeben, dann darf wirklich nur an
die Adresse gesendet werden, die sie angegeben haben. Wenn Sie hingegen bei
derselben Regel die IP-Adresse 194.25.134.0 und die Subnetzmaske 255.255.255.0
angeben, dann sind alle IP-Adressen von 194.25.134.0 bis 194.25.134.255 zugelassen.
Jetzt wird vielleicht auch klar, warum in der Router-Konfiguration hinter den
möglichen Einstellungen bei der Subnetzmaske immer ..../32, .../31 usw. eingeblendet
wird: Die Zahlen hinter dem Schrägstrich geben an, welche Zahlen in dualer
Schreibweise für den Router entscheidend sein sollen:
255.255.255.255/32 = 11111111.11111111.11111111.11111111 = alle Zahlen
255.255.255.000/24 = 11111111.11111111.11111111.00000000 = alle Zahlen außer
denen hinter dem letzten Punkt
21
___________________________
Begriffserläuterungen
Mit dieser Information kommen Sie schon relativ weit, wenn Sie sich auf Subnetzmasken
beschränken, die ganzzahlig durch 8 teilbar sind (.../32, .../24, .../16, .../8 =
255.255.255.255., 255.255.255.0, 255.255.0.0, 255.0.0.0): Bei 255.255.255.255
muss die IP-Adresse exakt stimmen. Bei 255.255.255.0 müssen nur die Zahlen vor
dem letzten Punkt übereinstimmen, um die Regel in Kraft zu setzen usw.. Wollen Sie
auch Zwischenwerte (.../31) definieren, so wird Ihnen nichts anderes übrig bleiben,
als die zu sperrenden/zuzulassenden IP-Adressen zunächst in dualer Schreibweise
zu notieren und mit einer entsprechenden Subnetzmaske in dualer Schreibweise zu
,überlagern': Überall, wo in der Subnetzmaske eine ,1' steht, prüft die Firewall auf
exakte Übereinstimmung, überall, wo eine ,0' steht, ist die Übereinstimmung
gleichgültig.
Beispiel:
Zugelassen bzw. gesperrt werden sollen die Adressen 194.127.127.127 und
194.127.127.126
Sie geben als Subnetzmaske ein:
255.255.255.254/31 = 11111111.11111111.11111111.11111110
und als IP-Adresse:
194.127.127.127 = 11000010.01111111.01111111.01111111
Die ,0' in der Subnetzmaske blendet die letzte duale Ziffer aus, so dass der Router
nur auf Übereinstimmung der ersten 31 dualen Ziffern prüft; die letzte Ziffer ist
gleichgültig (11000010.01111111.01111111.0111111x wird durchgelassen/
gesperrt, egal welchen Wert ,x' hat).
Durch die Subnetzmaske haben Sie mithin zugelassen/gesperrt:
194.127.127.127 = 11000010.01111111.01111111.01111111
194.127.127.126 = 11000010.01111111.01111111.01111110
Ein letztes Beispiel:
Sie geben als Subnetzmaske ein:
255.255.255.128/25 = 11111111.11111111.11111111.10000000
Dies bewirkt, dass nur die ersten 25 Stellen (in dualer Schreibweise !) der von Ihnen
in der Konfiguration der Firewall angegebenen IP-Adresse maßgebend sind.
I
n der Konfiguration können Sie jetzt für die IP-Adresse z.B. Werte von
194.127.127.0 bis 194.127.127.127 angeben; das Ergebnis bleibt gleich: Wenn eine
Verbindung zu einer Adresse angefordert wird, die zwischen 194.127.127.0 und
194.127.127.127 liegt, greift die Regel, wird eine Verbindung angefordert mit einer
IP-Adresse zwischen 194.127.127.128 und 194.127.127.255, greift die Regel nicht.
22
___________________________
Begriffserläuterungen
Geben Sie hingegen für die IP-Adresse Werte von 194.127.127.128 und
194.127.127.255 an, so ist es genau umgekehrt: Wenn eine Verbindung zu einer
Adresse angefordert wird, die zwischen 194.127.127.128 und 194.127.127.255 liegt,
greift die Regel, wird eine Verbindung angefordert mit einer IP-Adresse zwischen
194.127.127.0 und 194.127.127.127, greift die Regel nicht.
Vergleichen sie hierzu die dualen Schreibweisen:
Subnetzmaske:
255.255.255.128/25 = 11111111.11111111.11111111.10000000
IP-Adresse
194.127.127.000 = 11000010.01111111.01111111.00000000
.
.
.
194.127.127.126 = 11000010.01111111.01111111.01111110
194.127.127.127 = 11000010.01111111.01111111.01111111
194.127.127.128 = 11000010.01111111.01111111.10000000
194.127.127.129 = 11000010.01111111.01111111.10000001
194.127.127.130 = 11000010.01111111.01111111.10000010
.
.
. 194.127.127.255 = 11000010.01111111.01111111.11111111
Die kursiv und unterstrichen dargestellten Teile der IP-Adresse sind unerheblich. Erst
wenn an der 31. Stelle eine Abweichung auftritt, entscheidet sich, ob die Regel eingreift
oder nicht.
|
