Subnetzrechner für IPv4 und IPv6

Ausgangslage

Der Adressraum des Unternehmens wird von Grund auf festgelegt. Es gibt 150 Standorte und 16 Werke, und auch die virtuellen Netze in der Cloud kommen in denselben Adressraum. Geschäftsbereiche werden alle paar Jahre umorganisiert, und die Regionen, denen die Standorte zugeordnet sind, wechseln ebenfalls. Als Erstes wird entschieden, was wohin in 10/8 kommt.

Annahmen

10/8 kann im eigenen Unternehmen frei aufgeteilt werden. Dass sich der Adressraum bei einer künftigen Integration mit dem eines anderen Unternehmens mischt, muss vorerst nicht berücksichtigt werden. Weitere Zwecke können später hinzukommen. Die Filterzeilen, die sich auf die Grenzen beziehen, lassen sich zählen.

Zuteilung

Begründung

In 10/8 wird zuerst entschieden, welche Bedeutung das zweite Oktett trägt. Es gibt drei Kandidaten: Aufteilung nach Zweck, nach Organisation oder nach Geografie.

Kurz gesagt: nach Zweck. Organisation und Geografie ändern sich, der Zweck nicht. Geschäftsbereiche werden alle paar Jahre umorganisiert, Zuständigkeiten für Regionen werden neu verteilt. Ein Werk dagegen wird nie zu einem Bürostandort, und eine Testumgebung wird nie zur Produktion.

Bei einer Aufteilung nach Organisation bleibt bei jeder Umorganisation nur die Wahl, die Grenzen zu verschieben oder Namen stehen zu lassen, die nicht mehr zur Wirklichkeit passen. Gewählt wird fast immer Letzteres, und nach ein paar Jahren sitzt eine andere Abteilung im Block des Vertriebs. Dann stimmen die Einteilung im Entwurfsdokument und das, was tatsächlich auf den Geräten liegt, nicht mehr überein.

Die Grenzen der obersten Ebene lassen sich nicht verschieben, denn Filter sind in der Annahme geschrieben, dass 10.16.0.0/12 die Werke sind. Verschiebt sich eine Grenze, muss jede Zeile geprüft werden, die sich darauf bezieht. Bei 150 Standorten, 16 Werken und der Cloud sind das Hunderte Zeilen, und wenn nicht alle gleichzeitig umgestellt werden, entsteht ein Zeitraum, in dem der Verkehr nur in eine Richtung durchkommt.

Deshalb wird am Anfang so wenig wie möglich festgelegt. Teilt man 10/8 in /12 auf, ergeben sich 16 Blöcke, die an Zwecke vergeben werden können. Man beginnt mit vier Zwecken und nimmt einen Block hinzu, wenn der Platz nicht reicht. Blöcke kommen nur hinzu, daher verschieben sich bestehende Grenzen nicht. Nur 4 von 16 Blöcken zu nutzen wirkt verschwenderisch, doch nichts verschieben zu müssen ist mehr wert.

Reserven

Es gibt 16 /12-Blöcke. Die vier Zwecke „unternehmensweit gemeinsam“, Standorte, Werke und Cloud belegen vier Blöcke, zwölf bleiben frei. Kommt ein Zweck hinzu, erhält er einen freien Block wie 10.64.0.0/12, und bestehende Grenzen bleiben unverändert. Auch Zwecke, die später entstehen, etwa Test oder IoT, erhalten einen neuen Block, statt einen bestehenden zu teilen. Welcher Block als Nächstes vergeben wird, wird entschieden, wenn es so weit ist.

Stolperfallen

• Das zweite Oktett nach Organisation aufteilen. Die Organisation wird alle paar Jahre umorganisiert, die Grenzen aber lassen sich nicht verschieben, sodass Namen und Wirklichkeit dauerhaft auseinanderlaufen. Aufgeteilt wird nach Zweck.
• Von Anfang an viele feine Zwecke anlegen. Es entstehen nicht nur ungenutzte Blöcke, sondern bei jeder neuen Anforderung muss entschieden werden, zu welchem Zweck sie gehört. Man beginnt mit etwa vier und ergänzt erst bei Bedarf.
• Für einen Zweck, dem der Platz ausgeht, einen Teil des Nachbarblocks leihen. Mitten im Block entsteht eine Grenze, und fortan mischen sich nur in diesem Block zwei Zwecke. Reicht der Platz nicht, wird ein ganzer Block vergeben.
• Nur das Ergebnis der Aufteilung festhalten, nicht die Gründe. Die Nachfolger können lesen, welcher Block wofür ist, aber nicht, warum nach Zweck aufgeteilt wurde, und so kommt regelmäßig der Vorschlag, nach Organisation neu aufzuteilen.
• Den unternehmensweit gemeinsamen Bereich zuletzt nehmen. Die günstigen Blöcke werden zuerst vergeben, und das unternehmensweit Gemeinsame verteilt sich auf weit entfernte Blöcke. Das unternehmensweit Gemeinsame erhält den ersten Block.

Ausgangslage

Ein Unternehmen mit rund 100 Beschäftigten betreibt seine Feldgeräte und Testgeräte im Bereich 192.168. Jedes Mal, wenn eine Standortkopplung mit einem Geschäftspartner oder Dienstleister ansteht, geraten die Adressen in Konflikt mit denen am Standort der Gegenseite und müssen abgestimmt werden. Auch Verbindungen aus dem Homeoffice geraten manchmal in Konflikt mit privaten WLAN-Routern der Beschäftigten.

Annahmen

Welche Adressen am Standort der Gegenseite verwendet werden, lässt sich nicht immer vorab erfragen. Geräte mit Routen nach außen lassen sich von Geräten ohne solche Routen trennen. Die Adresse eines Geräts nachträglich zu ändern erfordert einen Termin vor Ort und eine Neukonfiguration. Auch 10/8 steht zur Verfügung.

Zuteilung

Begründung

192.168.0.0/16 gehört nicht dem Unternehmen allein. Heimgeräte, private WLAN-Router und die Standorte von Partnern und Dienstleistern nutzen denselben Adressraum. Dass sich Standardwerte bei 192.168.0 und 192.168.1 häufen, ist bekannt, doch das Problem reicht weiter. Die Standardwerte kleiner Geräte verteilen sich auch auf 192.168.10, 192.168.100 und andere, und was die Gegenseite verwendet, lässt sich meist nicht vorab erfragen.

Weicht man jedem kollidierenden Block einzeln aus, wächst die Liste der gemiedenen Blöcke ständig. Nach zehn Jahren Betrieb sind es Dutzende, und jeder neue Partner muss mit der Liste abgeglichen werden. Den Abgleich machen Menschen, also wird etwas übersehen.

Deshalb wird es umgekehrt gemacht. Der genutzte Bereich wird über das höherwertige Bit festgelegt: Nur die Hälfte, in der das dritte Oktett 128 oder größer ist, gilt als eigene. Dabei wird die Hälfte des Adressraums aufgegeben, aber die Entscheidung fällt nur einmal. Ein Unternehmen mit rund 100 Beschäftigten braucht weniger als 10 Blöcke, 128 reichen also bei Weitem.

Auch was dort liegen darf, wird begrenzt. In diesen Adressraum gehören nur Geräte ohne Routen zu anderen Unternehmen oder anderen Standorten. Wenn feststeht, dass Konflikte in diesem Adressraum unvermeidbar sind, gehört dorthin nur, was ein Konflikt nicht beeinträchtigt. Alles, was vom anderen Ende einer Standortkopplung aus sichtbar ist oder in eine Zusammenschaltung hinausgeht, bekommt Adressen aus 10.0.0.0/8.

Reserven

Das Unternehmen nutzt nur die Hälfte, in der das dritte Oktett 128 oder größer ist, und belegt 4 dieser 128 Blöcke. Die andere Hälfte, 192.168.0.0/17, bleibt frei, und auch bei mehr Partnern wird nicht Block für Block abgeglichen. Die Entscheidung ist eine einzige Prüfung: Ist das dritte Oktett 128 oder größer? Braucht etwas Routen nach außen, kommt es nicht in diesen Adressraum, sondern bekommt Adressen aus 10.0.0.0/8. Auch wenn die Zahl der Geräte wächst, reicht die genutzte Hälfte.

Stolperfallen

• Den Adressraum so aufteilen, als gehöre ganz 192.168 dem Unternehmen. Jede Zusammenschaltung bringt einen Konflikt, jeder wird durch Ausweichen auf einen anderen Block gelöst, und die Aufzeichnungen darüber verstreuen sich. Der genutzte Bereich wird über das höherwertige Bit festgelegt.
• Eine Liste kollidierender Blöcke führen, um ihnen auszuweichen. Jeder neue Partner erfordert einen Abgleich, und weil Menschen ihn machen, wird etwas übersehen. Die Entscheidung wird auf eine einzige Prüfung des höherwertigen Bits reduziert.
• Von außen sichtbare Geräte in diesen Adressraum legen. Geraten sie in Konflikt mit dem Standort der Gegenseite, kann nur die eigene Seite ausweichen, und die Adressen der Geräte müssen geändert werden. Was nach außen geht, bekommt Adressen aus 10.0.0.0/8.
• Die ungenutzte Hälfte doch in Gebrauch nehmen, weil es verschwenderisch wirkt, sie leer zu lassen. Einmal genutzte Blöcke lassen sich nicht zurückholen; gewonnen wird nichts, verloren geht die einfache Entscheidung. Für rund 100 Beschäftigte reichen 128 Blöcke bei Weitem.

Ausgangslage

Hauptsitz oder Niederlassung mit rund 100 Beschäftigten auf ein oder zwei Etagen. Genutzt werden kabelgebundenes und drahtloses Netz, Dateiserver und NAS stehen im eigenen Haus. Das ist der typischste Aufbau.

Annahmen

Mindestens ein Layer-3-Switch oder ein VLAN-fähiger Router ist vorhanden. DHCP kann auf einem Netzwerkgerät oder auf einem Server laufen. Einzuplanen ist, dass die Belegschaft innerhalb von drei Jahren auf das 1,5-Fache wachsen kann.

Zuteilung

Begründung

Bei rund 100 Personen stellt sich zuerst die Frage, ob ein einzelnes /24 reicht. Die Antwort: Für das kabelgebundene Netz allein reicht es, aber der Standort darf nicht als ein einziges /24 geschnitten werden. Kabelgebundene Clients allein passen in ein /24 hinein. Zählt man jedoch Firmen-Smartphones und die WLAN-Verbindungen der Notebooks mit, hat jede Person tatsächlich zwei bis drei Endgeräte, und die 254 Adressen eines /24 sind schnell belegt.

Deshalb wird ein /22 reserviert und intern in /24 und /26 aufgeteilt. Kabelgebundene und drahtlose Clients erhalten je ein eigenes /24, damit die Erschöpfung eines DHCP-Pools nicht auf den anderen übergreift. Server und Verwaltung bleiben bei /26, weil sie in dieser Größenordnung kaum je 60 Geräte überschreiten und eine größere Zuweisung die Lesbarkeit des dritten Oktetts kosten würde.

Auch dass das dritte Oktett eine Bedeutung trägt, ist Absicht. Mit 0 = kabelgebunden, 1 = Geräte mit fester IP, 2 = drahtlos und 3 = Phase 2 erkennt man beim ersten Blick auf einen Paketmitschnitt oder ein Log, um welches Segment es sich handelt. Diese Lesbarkeit bestimmt unmittelbar, wie schnell Störungen behoben werden.

Reserven

Da 10.20.3.0/24 vollständig frei bleibt, lässt sich auch bei einem Wachstum der Belegschaft auf das 1,5-Fache das drahtlose Netz auf /23 erweitern oder ein Abteilungssegment hinzufügen. Wird das /26 der Server knapp, werden die Drucker aus 10.20.1.128/27 nach 10.20.1.192/27 verlegt und die Geräteverwaltung in das frei gewordene 10.20.1.128/26; so lassen sich die Server als 10.20.1.0/25 verdoppeln. Für einen weiteren Standort folgen 10.21.0.0/22, 10.22.0.0/22 usw., zusammengefasst als 10.20.0.0/14.

Stolperfallen

• 192.168.1.0/24 oder 192.168.0.0/24 im Unternehmensnetz verwenden. Sie kollidieren mit den Standardwerten von Heimroutern, sodass das Routing bei VPN-Verbindungen aus dem Homeoffice zusammenbricht. Sicherer ist es, aus 10/8 zu schneiden.
• Drahtlose und kabelgebundene Clients in dasselbe Segment legen. Soll später eine SSID für Gäste hinzukommen, muss der Adressierungsplan neu erstellt werden. Von Anfang an zu trennen kostet so gut wie nichts.
• Die Verwaltungsadressen der Netzwerkgeräte in ein Client-Segment mischen. Per ACL lässt sich der Verwaltungszugriff dann nicht mehr gesondert einschränken, und bei Audits wird das garantiert beanstandet.
• Das Reserve-/24 für einen kurzfristigen Bedarf verwenden, „weil es frei ist“. Eine Reserve ist gerade deshalb wertvoll, weil sie ungenutzt bleibt; nennt man sie „Phase 2“ statt „Reserve“, wird sie eher respektiert.

Ausgangslage

Ein Standort mit rund 100 Plätzen ohne feste Arbeitsplätze. Bei 120 Beschäftigten schwankt die Büroanwesenheit je nach Tag zwischen 40 % und 80 %. Alle tragen ein Notebook bei sich, kabelgebundene Ports gibt es nur noch in Besprechungsräumen und an einigen festen Plätzen. Ständig sind etwa 10 Kurzzeitkräfte wie Leiharbeitskräfte oder externe Dienstleister vor Ort.

Annahmen

Das WLAN deckt den gesamten Standort ab, und die Beschäftigten können mit ihren Endgeräten allein über WLAN arbeiten. Die DHCP-Lease-Dauer lässt sich je Segment einstellen. Die tatsächliche tägliche Anwesenheit lässt sich nachträglich ermitteln, etwa aus Zutrittsprotokollen. Ein Platzbuchungssystem ist nicht eingeführt.

Zuteilung

Begründung

Bei der Bemessung des Pools tauchen zuerst zwei Zahlen auf: 100 Plätze und 120 Beschäftigte. Die Platzzahl scheidet als Erstes aus. Als Nächstes zählt die Zahl der Endgeräte bei Spitzenanwesenheit: Bei 80 % Anwesenheit sind es 96 Personen, und da jede ein Notebook und ein Firmen-Smartphone hat, 192 Geräte. Bis hierhin reicht ein /24 mit seinen 254 Adressen.

Danach geht die Rechnung nicht mehr auf. Beim Desk-Sharing steht nicht fest, wer heute kommt. Bei einer Lease-Dauer von 24 Stunden sind die Adressen der Geräte von Personen, die gestern da waren und heute nicht, noch gültig. Eine Anwesenheit, die zwischen 40 % und 80 % schwankt, bedeutet, dass es Tage gibt, an denen kaum dieselben Personen an zwei aufeinanderfolgenden Tagen kommen. Folgt auf einen Tag mit 40 % (48 Personen) ein Tag mit 80 % (96 Personen) fast ohne gemeinsame Gesichter, nähert sich die Zahl der Personen über beide Tage den 120 Beschäftigten, und die gültigen Leases erreichen bis zu 240 Geräte. Das sind 94 % der 254 Adressen eines /24, es bleiben nur 14 übrig. Die Erschöpfung kommt nicht am vollsten Tag, sondern an dem Tag, an dem die Gesichter wechseln. Zu zählen ist nicht die Spitzenanwesenheit, sondern wie viele Personen innerhalb einer Lease-Dauer kommen können, also eine Zahl nahe der Belegschaft.

Könnte man die Lease dann einfach verkürzen? Dafür gibt es eine Untergrenze. Werden die Notebooks über die Mittagspause und Besprechungen am Nachmittag zugeklappt, sind sie drei bis vier Stunden ohne Verbindung; bei einer Lease von 2 Stunden erhalten manche Geräte bei der Rückkehr eine andere Adresse. Die Obergrenze bestimmt die Poolgröße, die Untergrenze die Arbeitsweise. Beides lässt sich nur mit einem /23 für den Pool erfüllen. Mit 510 Adressen bleiben selbst bei 240 Geräten 53 % frei.

Mit einem /23 geht die Zuordnung zwischen drittem Oktett und Segment verloren, doch an diesem Standort hat die Vermeidung der Erschöpfung Vorrang vor der Lesbarkeit. Sollen Geräte, die ständig in Bewegung kommunizieren, im selben Pool liegen, ist eine eigene Entscheidung nötig.

Reserven

Das benachbarte 10.16.10.0/23 bleibt nicht für die Zukunft frei, sondern damit der Pool als ein einziges Subnetz wachsen kann. Ein Pool lässt sich nicht durch getrennte Stücke erweitern; um das /23 zu einem /22 zu machen, muss das angrenzende /23 vollständig frei sein. Der Entscheidungspunkt liegt bei 210 Beschäftigten, denn wenn innerhalb von zwei Tagen fast alle kommen, sind das 420 Geräte, 82 % der 510 Adressen des aktuellen /23-Blocks. Dann wird der angrenzende Block zu 10.16.8.0/22 zusammengeführt und die Lease-Dauer beibehalten. Wegen dieser Einschränkung wurden auch die kabelgebundenen Anschlüsse und die Server nach 10.16.12.0/24 verdrängt. Werden die Bedingungen für eine Freigabe nicht vorab festgelegt, wird der freie Bereich unweigerlich für etwas anderes belegt.

Stolperfallen

• Den Pool nach der Zahl der Plätze bemessen. Wird wegen 100 Plätzen ein /25 geschnitten, reicht er nicht mehr, sobald zwei Geräte pro Person und die Kurzzeitkräfte gezählt werden, und er ist in der ersten Betriebswoche erschöpft. Gezählt werden Endgeräte, nicht Plätze.
• Die Lease-Dauer verkürzen, um den Umlauf zu erhöhen und die Erschöpfung zu vermeiden. Geräte, die nach der Mittagspause oder einer Besprechung zurückkehren, erhalten eine andere Adresse und verlieren ihre Verbindungen; da der Abbruch nur im Moment der Rückkehr auftritt, lässt er sich nicht reproduzieren, und es wird nichts gemeldet.
• Die Geräte der Kurzzeitkräfte in denselben Pool wie die der Beschäftigten legen. Die aus der Belegschaft geschätzte Gerätezahl weicht ständig von der Wirklichkeit ab, und bei jeder Aufstockung lässt sich nicht mehr erklären, wie viele Adressen gefehlt haben. Planbares und Unplanbares werden getrennt.
• An der Praxis festhalten, kabelgebundenen Ports feste IP-Adressen zuzuweisen. Beim Desk-Sharing sitzt jeden Tag eine andere Person am selben Port, sodass die Zuordnung von Adressen zu Nutzern schnell zerfällt und nur das Adressregister übrig bleibt. Auch kabelgebundene Ports werden per DHCP versorgt.

Ausgangslage

Insgesamt 150 Standorte: 1 Hauptsitz, 8 regionale Hubs und 141 Vertriebsbüros und Lager. Jeder Standort ist über einen regionalen Hub mit dem Hauptsitz verbunden, und die Routen werden an den regionalen Hubs zusammengefasst und nach oben weitergegeben. Die Standortnummern werden bereits in der Anlagenverwaltung sowie in Formularen und Berichten verwendet und wurden in der Reihenfolge der Eröffnung vergeben. Jedes Jahr eröffnen einige Standorte, und einige schließen.

Annahmen

Jeder regionale Hub kann die ihm zugeordneten Standorte als eine einzige Route ankündigen. Ein Schema für Standortnummern besteht bereits, und die Nummern können nicht wegen des Adressierungsplans neu vergeben werden. Kein Standort hat mehr als 1.000 Endgeräte. Die Zugehörigkeit eines Standorts zu einer Region ändert sich über Jahre hinweg nicht.

Zuteilung

Begründung

Aggregiert wird, damit 150 Standorte nicht als 150 Routen nach oben gehen. Die Aggregation verlangt aber zusammenhängende Adressblöcke, nicht zusammenhängende Standortnummern. Wer das verwechselt, macht den ganzen Entwurf wertlos.

Die Standortnummern gibt es bereits. Sie werden in der Anlagenverwaltung sowie in Formularen und Berichten verwendet, wurden in der Reihenfolge der Eröffnung vergeben und haben nichts mit den Regionen zu tun. Werden sie direkt auf das zweite Oktett abgebildet, hält der Hub der Region 3 eine verstreute Menge wie die Standorte 3, 17, 42 und 88. Verstreute Blöcke lassen sich nicht zu einer Route zusammenfassen, also gehen weiterhin 150 Routen nach oben. Für die Aggregation neu zu nummerieren ist nicht möglich: Die Nummern stecken in Formularen, Berichten und in den Bezeichnungen, die im Alltag verwendet werden.

Deshalb wird die Reihenfolge umgekehrt. Zuerst erhält die Aggregationseinheit, also der regionale Hub, einen Block, und die Standortnummern werden innerhalb dieses Blocks als Kennungen vergeben. Jede der 8 Regionen bekommt ein zweites Oktett, jeder Standort einen /22-Block. Eine Region fasst bis zu 64 Standorte. Bei 150 Standorten hat selbst die größte Region nur 24, alles passt, und es gehen 8 Routen nach oben. Auch wenn sich die Standorte auf 300 verdoppeln, bleibt es bei 8.

Der Preis ist, dass sich die Standortnummer nicht mehr aus der Adresse ablesen lässt. Sie ablesbar zu machen hieße, die zusammenhängenden Blöcke innerhalb der Regionen aufzugeben. Für die Störungsbehebung braucht man keine Nummernregel, sondern eine Zuordnungstabelle von Standortnummern zu Blöcken.

Reserven

Die regionalen Blöcke belegen die zweiten Oktette 1 bis 8, die 0 dient unternehmensweit gemeinsamen Zwecken. Die sieben Blöcke 9 bis 15 bleiben frei, für zusätzliche Regionen und für einen zweiten regionalen Block, den eine Region mit mehr als 64 Standorten erhält. Diese Nummern sind nicht zusammenhängend und werden in der Zuordnungstabelle nachgeschlagen. Ab 10.16.0.0/12 aufwärts bleibt alles unangetastet und wird für Übernahmen und die Aufnahme anderer Geschäftsbereiche vorgehalten.

Stolperfallen

• Standortnummern direkt auf Adressen abbilden. Die Nummern folgen der Eröffnungsreihenfolge und haben nichts mit den Regionen zu tun, daher liegen die Standorte eines Hubs verstreut, und es gehen weiterhin so viele Routen nach oben, wie es Standorte gibt. Nummern werden innerhalb des regionalen Blocks vergeben.
• Adressen für Verbindungen zwischen Standorten aus dem Block des eigenen Standorts nehmen. Liegt die Gegenseite in einer anderen Region, landen Adressen aus dem Block dieser Region in der anderen Region, und für sie gehen spezifischere Routen nach oben. Verbindungen werden aus einem gemeinsamen Block außerhalb der Standortblöcke genommen.
• Segmente innerhalb eines Standorts über die Grenze des Standortblocks hinweg hinzufügen. Der überstehende Teil ist von der Aggregation nicht erfasst, und für diesen einen Standort geht eine spezifischere Route nach oben. Hinzugefügt wird nur innerhalb des Blocks; reicht er nicht, wird ein zweiter Block vergeben.
• Verlangen, dass sich die Standortnummer aus der Adresse ablesen lässt. Das hieße, die zusammenhängenden Blöcke innerhalb der Regionen aufzugeben, und die Aggregation funktioniert nicht mehr. Gebraucht wird keine Nummernregel, sondern eine Zuordnungstabelle.
• Einen einzelnen Standort aus geografischen Gründen an einen anderen regionalen Hub anbinden. Seine Adressen bleiben im ursprünglichen regionalen Block, daher stehen oben der regionale Block und eine eigene Route nur für diesen Standort nebeneinander. Wechselt ein Standort den Hub, werden seine Adressen mit umgezogen.

Ausgangslage

In einem Netz mit 300 oder mehr Punkt-zu-Punkt-Verbindungen soll die Präfixlänge der Verbindungen festgelegt werden. Die Geräte stammen aus verschiedenen Generationen: Ältere Geräte, Spezialgeräte und virtuelle Geräte laufen nebeneinander. Vorgeschlagen wurde, einheitlich auf /31 umzustellen, um Adressen zu sparen.

Annahmen

Modell und Generation der Geräte an beiden Enden jeder Verbindung lassen sich auflisten. Ob ein Gerät /31 beherrscht, lässt sich vorab prüfen. Die Zuweisung erfolgt an einer zentralen Stelle. Die Adressen einer Verbindung nachträglich zu ändern erfordert, Konfiguration und Überwachung umzuschreiben.

Zuteilung

Begründung

Ein /30 hat vier Adressen, von denen nur zwei nutzbar sind; ein /31 nutzt beide. Der Adressbedarf halbiert sich.

Als Einsparung ist das aber bedeutungslos. Bei 352 Verbindungen belegt /30 insgesamt 1.408 Adressen und /31 nur 704. Die Differenz von 704 ist nur etwa 1 Prozent des für Verbindungen reservierten /16-Blocks. Eine so kleine Differenz ist kein Grund, die Entscheidung zu ändern.

Entscheidend ist, ob alle Geräte mitziehen. Nicht jedes Gerät beherrscht /31-Adressierung. Ältere Geräte, Spezialgeräte oder virtuelle Geräte unterstützen es mitunter nicht. Jede Verbindung hat an jedem Ende ein Gerät; fehlt auch nur einem davon die Unterstützung, muss diese Verbindung als /30 angelegt werden.

Mischt man beides, ändert sich das Zuweisungsverfahren. Im Pool liegen dann zwei Größen nebeneinander, und bei jeder Zuweisung muss die Unterstützung der Geräte an beiden Enden geprüft werden. Bei 10 Verbindungen im Monat sind das 120 Prüfungen im Jahr. 704 gesparte Adressen sind 120 Prüfungen im Jahr nicht wert.

Deshalb wird vereinheitlicht. Unterstützen alle Geräte es, wird /31 genommen; bleibt auch nur ein Gerät ohne Unterstützung, wird durchgehend /30 genommen. Lässt sich das Mischen nicht vermeiden, werden die Bereiche getrennt, damit nicht bei jeder Zuweisung geprüft werden muss.

Noch etwas: Eine einmal als /30 angelegte Verbindung wechselt nicht auf /31, auch wenn ihre Geräte ersetzt werden. Ein Wechsel hieße, ihre Adressen zu ändern, und damit würden Konfiguration und Namen in der Überwachung umgeschrieben. Von einer späteren Umstellung wird nicht ausgegangen.

Reserven

Standard ist /30; nur Abschnitte mit bestätigter Unterstützung werden aus dem /31-Bereich geschnitten. Die Bereiche werden getrennt, damit bei der Zuweisung die Unterstützung der Geräte nicht geprüft werden muss. Ein Abschnitt kommt nur dann in den /31-Bereich, wenn die Geräte an beiden Enden ersetzt und ihre Unterstützung bestätigt ist. Zuwachs kommt aus 10.161.16.0/21. Auch wenn alle Geräte ersetzt sind, werden bestehende /30-Verbindungen nicht umgestellt; nur neu angelegte Verbindungen erhalten /31-Adressen.

Stolperfallen

• /31 wählen, um Adressen zu sparen. Die Einsparung beträgt etwa 1 Prozent des Verbindungsblocks und ist kein Grund, die Entscheidung zu ändern. Entscheidend ist, ob alle Geräte mitziehen.
• Beide Größen im selben Bereich mischen. Bei jeder Zuweisung muss die Unterstützung der Geräte an beiden Enden geprüft werden, und bei 10 Verbindungen im Monat kommen 120 Prüfungen im Jahr hinzu. Wenn gemischt wird, dann in getrennten Bereichen.
• /31 zum Standard machen, obwohl noch ein Gerät ohne Unterstützung übrig ist, und nur diesen Abschnitt als /30-Ausnahme führen. Bei jedem Gerätetausch ist eine Prüfung nötig, und wird sie ein einziges Mal vergessen, ist die Verbindung nicht nutzbar. Standard ist /30, und /31 wird nur aus dem Bereich für Abschnitte mit bestätigter Unterstützung geschnitten.
• /30 wählen in der Annahme, später auf /31 umzustellen. Umstellen heißt, Adressen zu ändern, und Konfiguration und Namen in der Überwachung werden umgeschrieben. Entschieden wird in der Annahme, dass nicht umgestellt wird.

Ausgangslage

Ein Unternehmen mit etwa 100 Personen richtet ein Gast-WLAN ein. An normalen Tagen sind es rund 20 Gastgeräte, an Tagen mit Informationsveranstaltungen oder Ausstellungen kommen 400 auf einmal. Der Verkehr ins Unternehmensnetz wird durch Filter gesperrt, doch Namensauflösung und Adressvergabe laufen über dieselben Geräte wie im Unternehmensnetz.

Annahmen

Das Gast-WLAN kann als vom Unternehmens-WLAN getrennter Bereich bereitgestellt werden. Für Gäste lässt sich ein einziger Ausgang nach außen einrichten. Geräte für Namensauflösung und Adressvergabe können für Gäste separat aufgestellt werden. Innerhalb von 172.16/12 gibt es eine nutzbare Position.

Zuteilung

Begründung

Vom Gast-WLAN wird meist nur erwartet, dass es vom Unternehmensnetz abgeschottet ist: Der Verkehr ins Unternehmensnetz wird per Filter gesperrt, und damit sei es getan. Das reicht nicht.

Der Gastbereich teilt auch außerhalb der Filter etwas mit dem Unternehmensnetz. Lässt man Gäste Namen über Geräte des Unternehmensnetzes auflösen, können Gastgeräte die Namen interner Server abfragen. Selbst wenn keine Antwort zurückkommt, verrät die Reaktion auf die Anfrage, welche Namen existieren. Erfolgt die Adressvergabe über dieselben Geräte wie im Unternehmensnetz, stockt an einem Veranstaltungstag, an dem 400 Geräte in ein Unternehmen mit 100 Personen kommen, auch die interne Adressvergabe. Lässt man Gäste ihre Uhrzeit mit dem Unternehmensnetz abgleichen, muss eine Route zum internen Zeitserver geöffnet werden.

Deshalb teilt der Gastbereich nichts mit dem Unternehmensnetz. Er hat keine Route zu irgendeinem internen Segment, und sein einziger Ausgang führt nach außen. Namensauflösung und Adressvergabe werden separat nur für Gäste betrieben. Statt mit Filtern zu sperren, werden die Routen, die gesperrt werden müssten, gar nicht erst angelegt. Eine gesperrte Route lässt sich mit einer Zeile öffnen; eine Route, die nicht existiert, lässt sich nicht öffnen.

Auch die Wahl der Adressen hat einen Grund. Die meisten Gastgeräte bauen Verbindungen zum eigenen Unternehmen auf. Nutzt dieses Unternehmen intern 10/8 und liegt auch der Gastbereich in 10/8, überschneiden sich die Adressen auf der Gegenseite, und der Gast erreicht sein eigenes Unternehmen nicht mehr. Der Bereich wird an einer wenig genutzten Position innerhalb von 172.16/12 genommen.

Reserven

Der Gastbereich hat nirgendwohin im Unternehmensnetz eine Route, und sein einziger Ausgang führt nach außen. Auch Namensauflösung und Adressvergabe werden für Gäste separat betrieben. Bringen Veranstaltungen mehr Geräte, wird 172.30.4.0/22 hinzugefügt, und auch dieser Zusatz geht über denselben Ausgang hinaus. Routen ins Unternehmensnetz kommen nicht hinzu. Der Bereich liegt innerhalb von 172.16/12 und überschneidet sich nicht mit 10/8, das die Unternehmen der Gäste vermutlich nutzen.

Stolperfallen

• Den Verkehr ins Unternehmensnetz mit Filtern sperren und es dabei belassen. Werden Namensauflösung oder Adressvergabe mit dem Unternehmensnetz geteilt, fließen interne Informationen außerhalb der Filter ab, und auch die Last überträgt sich. Nichts teilen.
• Gastgeräte die interne Namensauflösung nutzen lassen. Selbst ohne Antwort verrät die Reaktion auf Anfragen, welche Namen existieren. Für Gäste wird eine eigene betrieben.
• Die Adressvergabe für Gäste über dieselben Geräte wie im Unternehmensnetz abwickeln. Steigt die Zahl der Gäste an einem Veranstaltungstag sprunghaft, stockt auch die interne Adressvergabe. Die Adressvergabe wird für Gäste getrennt.
• Den Gastbereich aus 10/8 nehmen. Baut ein Gast eine Verbindung zu seinem eigenen Unternehmen auf, überschneiden sich die Adressen mit dessen internem Netz, und die Verbindung scheitert. Er wird an einer wenig genutzten Position innerhalb von 172.16/12 genommen.

Ausgangslage

In einem Unternehmen mit etwa 500 Personen wächst die Zahl der Geräte in der DMZ von Jahr zu Jahr. Ein öffentlich erreichbarer Webserver, ein Server für den Dateiaustausch mit Geschäftspartnern, Geräte, die Mails von außen annehmen, ein Server, der nur externe Dienste aufruft, und Geräte, die Überwachungsmeldungen nach außen senden, teilen sich einen Bereich.

Annahmen

Geräte, die von außen aufgebaute Verbindungen annehmen, lassen sich von Geräten unterscheiden, die nur nach außen senden. Die Gegenstelle jeder Verbindung mit Geschäftspartnern ist bekannt. DMZ-Bereiche können je Gegenstelle getrennt bereitgestellt werden. Verkehr zwischen den Bereichen kann an der Grenze gestoppt werden.

Zuteilung

Begründung

Für das, was in die DMZ gehört, gibt es ein einziges Kriterium: Geräte, die von außen aufgebaute Verbindungen annehmen.

Ohne Kriterium landet dort alles, was mit außen spricht: Geräte, die von innen nur nach außen senden, Server, die nur externe Dienste aufrufen, Geräte, die Überwachungsmeldungen nach außen senden. Keines davon nimmt von außen aufgebaute Verbindungen an, also gibt es keinen Grund, sie in die DMZ zu stellen. Stellt man sie hinein, wächst die DMZ, und wird eines davon kompromittiert, ist alles daneben erreichbar.

Ist geklärt, was hineingehört, wird als Nächstes danach getrennt, von wem angenommen wird. Öffentlich Erreichbares und Systeme für Geschäftspartner kommen nicht in denselben Bereich. Öffentlich Erreichbares kann jeder ansprechen, daher wird es unter der Annahme geplant, dass es kompromittiert wird. Bei Systemen für Geschäftspartner stehen die Gegenstellen fest, daher sind die Freigaben weit enger. Liegen beide im selben Bereich, sind die mit Partnern ausgetauschten Dateien vom kompromittierten öffentlichen Server nebenan erreichbar. Die Gegenstellen einzuschränken, wäre dann sinnlos.

Verkehr zwischen den getrennten Bereichen wird nicht freigegeben. Geschäftlich gibt es keinen einzigen Grund, vom öffentlichen Bereich in den Partnerbereich zu gelangen.

Taucht ein neues Gerät auf, das von außen annimmt, und ist unklar, von wem, kommt es in den öffentlichen Bereich. Ein Gerät, dessen Gegenstellen sich nicht einschränken lassen, in den Partnerbereich zu stellen, hebelt die Voraussetzung dieses Bereichs aus.

Reserven

Die DMZ wird danach aufgeteilt, von wem ein Bereich annimmt; Öffentlich Erreichbares und Systeme für Geschäftspartner liegen in getrennten Bereichen. Verkehr zwischen den Bereichen wird nicht freigegeben. Taucht ein neues Gerät auf, das von außen annimmt, wird sein Bereich danach bestimmt, von wem es annimmt; lässt sich das nicht bestimmen, kommt es in den öffentlichen Bereich. Reichen die Bereiche nicht, werden weitere aus 10.170.1.0/24 geschnitten. Geräte, die nur nach außen senden, kommen auch dann nicht in die DMZ, wenn ihre Zahl wächst.

Stolperfallen

• Alles, was mit außen kommuniziert, in die DMZ stellen. Kommen auch Geräte hinzu, die nur nach außen senden, wächst die DMZ, und ein einziger kompromittierter Rechner erreicht alles daneben. In die DMZ kommen nur Geräte, die von außen aufgebaute Verbindungen annehmen.
• Öffentlich Erreichbares und Systeme für Geschäftspartner in denselben Bereich legen. Wird die öffentliche Seite kompromittiert, sind die mit Partnern ausgetauschten Dateien von nebenan erreichbar. Die Bereiche werden danach getrennt, von wem angenommen wird.
• Verkehr zwischen den getrennten Bereichen vorsichtshalber freigeben. Eine Freigabe ohne geschäftlichen Grund dient nur als Weg für einen Angreifer. Zwischen den Bereichen wird nichts freigegeben.
• Ein Gerät mit unklarer Gegenstelle in den Partnerbereich stellen. Dieser Bereich hält seine Freigaben unter der Voraussetzung eng, dass die Gegenstellen feststehen, und diese Voraussetzung fällt weg. Im Zweifel kommt es in den öffentlichen Bereich.

Ausgangslage

In einem virtuellen Netz in der Cloud wird für jede Fehlerzone ein kleines Subnetz für 10 Geräte angelegt. Wie im Unternehmensnetz gewohnt, wird erwartet, dass ein /28 Platz für 14 Geräte bietet. Im selben virtuellen Netz ist außerdem ein Anwendungssubnetz für etwa 200 Geräte geplant.

Annahmen

Bekannt ist, dass der genutzte Anbieter in jedem Subnetz einige Adressen vorab belegt. Wie viele er belegt und welche Mindestgröße ein Subnetz haben muss, lässt sich prüfen. Die Größe eines Subnetzes lässt sich nach dem Anlegen nicht mehr ändern. Im virtuellen Netz ist noch Platz frei.

Zuteilung

Begründung

Wird in der Cloud ein Subnetz angelegt, belegt der Anbieter vorab einige seiner Adressen. Das hängt vom Anbieter ab, üblich ist aber, die ersten vier und die letzte zu belegen, insgesamt fünf. Im Unternehmensnetz sind nur die erste und die letzte Adresse unbrauchbar. Wer Subnetze zuschneidet, ohne diesen Unterschied zu kennen, hat am Ende zu wenige Adressen.

Der Unterschied trifft kleine Subnetze am stärksten. Bei einem /24 sind es 5 von 256, weniger als 2 Prozent. Bei einem /26 sind es 5 von 64, also 8 Prozent. Beim kleinstmöglichen /28 fallen 5 von 16 weg, rund 30 Prozent. Nutzbar sind nur 11.

Wird ein /28 wie im Unternehmensnetz gewohnt zugeschnitten, ist Platz für 14 Geräte eingeplant, es passen aber nur 11 hinein. Bei 10 Geräten bleibt eine einzige Adresse Spielraum, und sobald zwei weitere hinzukommen, läuft das Subnetz über. Da sich die Größe eines Subnetzes nach dem Anlegen nicht ändern lässt, muss es dann neu angelegt werden.

Beim Zuschneiden kleiner Subnetze wird die Geräteanzahl daher mit der Zahl verglichen, die nach Abzug der Reservierung bleibt. Für 10 Geräte wird ein /27 statt eines /28 gewählt. Ein /27 lässt nach Abzug von 5 aus 32 noch 27 nutzbare Adressen. Je kleiner das Subnetz, desto größer der Anteil des Verlusts. Kleine Subnetze werden deshalb grundsätzlich eine Stufe größer zugeschnitten als im Unternehmensnetz.

Die Zahl der reservierten Adressen unterscheidet sich je nach Anbieter, ebenso die Mindestgröße. Wird im Tab „Berechnen“ ein Reservierungsprofil gewählt, erscheint die Zahl der nutzbaren Adressen sofort. Schätzungen werden dort geprüft.

Reserven

Bei kleinen Subnetzen wird die Geräteanzahl mit der Zahl verglichen, die nach Abzug der 5 reservierten Adressen bleibt. Für 10 Geräte wird ein /27 statt eines /28 gewählt. Die Subnetze werden in gleicher Größe aufgereiht, eines pro Fehlerzone. Werden mehr Subnetze gebraucht, werden sie aus 10.216.2.0/24 zugeschnitten. Bei Zweifeln an einer Schätzung wird im Tab „Berechnen“ das Reservierungsprofil gewählt und die Zahl der nutzbaren Adressen geprüft.

Stolperfallen

• Die nutzbaren Adressen wie im Unternehmensnetz gewohnt zählen. Wer nur die erste und die letzte abzieht, übersieht die übrigen drei, die der Anbieter belegt, und die geplante Geräteanzahl passt nicht hinein. Mit der Zahl nach Abzug der Reservierung vergleichen.
• Das kleinstmögliche /28 zum Standard machen. 5 von 16 fallen weg, nutzbar sind nur 11, und schon wenige zusätzliche Geräte bringen es zum Überlaufen. Für etwa 10 Geräte ein /27 wählen.
• Davon ausgehen, dass sich ein Subnetz später vergrößern lässt. Die Größe ist nach dem Anlegen nicht änderbar, und ein Überlauf erzwingt ein neues Subnetz. Von Anfang an mit Reservierung schätzen.
• Annehmen, dass alle Anbieter gleich viele Adressen reservieren. Anbieter unterscheiden sich sowohl in der Zahl der belegten Adressen als auch in der Mindestgröße. Mit dem Profil des genutzten Anbieters prüfen.

Ausgangslage

Das Netz eines übernommenen Unternehmens wird mit dem eigenen Netz verbunden. Beide nutzen 10/8, und viele Bereiche überlappen sich. Aus geschäftlichen Gründen müssen die Netze bis nächsten Monat verbunden sein, und für die Umnummerierung einer Seite fehlt die Zeit. Vorgeschlagen wird, die Netze zu verbinden, indem die Adressen an der Grenze umgesetzt werden.

Annahmen

Zwischen den Netzen der beiden Unternehmen lässt sich eine einzige Grenze einrichten, an der Adressen umgesetzt werden können. Die umgesetzten Adressen können aus einem Bereich genommen werden, der in keinem der beiden Adressräume liegt. In die Umsetzungsregeln lässt sich eine Frist eintragen. Welche Seite umnummeriert wird, kann entschieden werden, ohne auf eine Entscheidung der Geschäftsleitung zu warten.

Zuteilung

Begründung

Zwei überlappende Netze lassen sich auf zwei Arten verbinden: Eine Seite wird umnummeriert, oder die Adressen werden an der Grenze umgesetzt. Die Umsetzung ist über Nacht eingerichtet, die Umnummerierung dauert Monate. Zu Beginn einer Integration die Umsetzung zu wählen, ist richtig.

Das Problem ist, dass die Umsetzung dauerhaft wird. Weil der Verkehr mit der Umsetzung durchkommt, entfällt der Grund für die Umnummerierung. Drei Jahre später haben sich die Umsetzungsregeln angehäuft, und niemand kann das Ganze mehr erklären. Bei jeder Störung muss geprüft werden, ob eine Adresse im Log die ursprüngliche oder die umgesetzte ist.

Deshalb werden am Tag, an dem die Umsetzung eingeführt wird, zwei Dinge zugleich festgelegt: die Frist und die Seite, die umnummeriert wird. Die Frist wird als Datum festgelegt und direkt in die Umsetzungsregeln geschrieben. Die umzunummerierende Seite wird noch am selben Tag bestimmt, und die Zeit der Umsetzung gilt als Vorbereitungszeit für die Umnummerierung. Eine Umsetzung, bei der nicht feststeht, welche Seite umnummeriert wird, lässt sich bei Fristablauf nur verlängern.

Die umgesetzten Adressen werden aus einem Bereich genommen, der keiner der beiden Seiten gehört. Nutzen beide Unternehmen 10/8 und überlappen sich dort, werden die umgesetzten Adressen aus 172.16/12 genommen. Wird freier Platz im 10/8 einer der beiden Seiten verwendet, kommt es bei der Aufnahme des nächsten Unternehmens erneut zu Überlappungen.

Manche Umsetzung darf dauerhaft sein. Ist es eine Voraussetzung des Designs, dass dieselben Adressen nebeneinander wiederkehren, wie bei Produktionslinien, die mit derselben kopierten Konfiguration aufgebaut sind, dann ist eine dauerhafte Umsetzung richtig. Eine Überlappung bei einer Integration ist keine Voraussetzung, sondern ein Unfall, und die Notlösung für einen Unfall darf nicht dauerhaft werden.

Reserven

Die umgesetzten Bereiche werden innerhalb von 172.16/12 genommen, und der Bereich, über den das Netz des anderen Unternehmens gesehen wird, wird von dem Bereich getrennt, über den das eigene Netz dem anderen Unternehmen gezeigt wird. Die Frist wird in die Umsetzungsregeln geschrieben, und bis zur Frist wird die Seite umnummeriert, die am Tag der Einführung der Umsetzung bestimmt wurde. Zuwachs bis zur Frist wird aus 172.18.24.0/22 abgeteilt. Eine abgelaufene Umsetzung wird nicht verlängert; ist eine Verlängerung nötig, beginnt man erneut bei der Entscheidung, welche Seite umnummeriert wird.

Stolperfallen

• Bei der Einführung der Umsetzung keine Frist festlegen. Der Verkehr kommt durch, also entfällt der Grund für die Umnummerierung, und die Umsetzungsregeln häufen sich an, bis niemand sie mehr erklären kann.
• Die Umsetzung einführen, ohne festzulegen, welche Seite umnummeriert wird. Läuft die Frist ab, beginnt die Diskussion wieder bei der Frage, welche Seite umnummeriert wird, sodass nur die Verlängerung bleibt. Die Entscheidung fällt am selben Tag wie die Umsetzung.
• Die umgesetzten Adressen aus freiem Platz im eigenen 10/8 nehmen. Bei der Aufnahme des nächsten Unternehmens überlappen sie sich erneut. Sie werden aus einem Bereich genommen, der keiner der beiden Seiten gehört.
• Umsetzungsregeln Host für Host schreiben. Dann müssen auch die Fristen Host für Host verwaltet werden, und niemand weiß, welche Regeln noch übrig sind. Sie werden pro Bereich geschrieben.

Ausgangslage

Ein Werk mit mehreren Fertigungslinien in gleicher Anlagenkonfiguration, in dem weitere Linien geplant sind. In den vom Anlagenhersteller gelieferten Steuergeräten sind feste IP-Adressen ab Werk eingestellt, und Ausgangspunkt ist, dass dieselben Adressen auf mehreren Linien doppelt vorkommen.

Annahmen

Die Adressen der Steuergeräte jeder Linie lassen sich nicht ändern, oder eine Änderung erfordert eine erneute Abnahme durch den Anlagenhersteller. Die Linien müssen nicht direkt miteinander kommunizieren, sondern nur mit den übergeordneten Systemen der Datenerfassung. An der Grenze jeder Linie kann ein Layer-3-Gerät oder ein NAT-fähiges Gerät aufgestellt werden.

Zuteilung

Begründung

Was ein OT-Netz entscheidend von der IT unterscheidet, ist, dass sich die Adressen nicht frei festlegen lassen. Anlagenhersteller liefern dieselbe Konfiguration an viele Kunden, deshalb sind die Adressen der Steuergeräte ab Werk festgelegt, und dieselbe 192.168.0.10 gibt es sowohl auf Linie 2 als auch auf Linie 3. Wird das nach IT-Gewohnheit behandelt, also „überlappt, also umnummerieren“, geht es plötzlich um Gewährleistung und erneute Abnahme, und die Fertigung steht.

Deshalb wird nicht umnummeriert. Die Adressen innerhalb der Linie bleiben so, wie der Anlagenhersteller sie eingestellt hat; auf dem Gerät an der Liniengrenze wird eine 1:1-Adressumsetzung eingerichtet, und nur die von außen sichtbaren Adressen werden nach Liniennummer unterschieden. Ein Steuergerät auf Linie 1 erscheint von außen als 172.20.1.x, dasselbe Gerät auf Linie 2 als 172.20.2.x. Mit der Regel „drittes Oktett = Liniennummer“ erkennt jeder, der die Protokolle der Datenerfassung liest, die Linie sofort, ohne den Gerätenamen zu kennen.

Der Kern dieses Designs ist, die Vorgaben des Anlagenherstellers und die Verwaltbarkeit für die IT durch eine einzige Schicht zu trennen: die Umsetzung. Innerhalb der Linie gilt die Welt des Anlagenherstellers, ab der Grenze aufwärts die Welt der IT-Abteilung. Der größte Vorteil: Für eine neue Linie muss das Design nicht neu erstellt werden; die Nummer wird um eins erhöht und dieselbe Konfiguration kopiert.

Reserven

Für die nächsten Erweiterungen ist 172.20.4.0/22 (Linien 4 bis 7) reserviert. Da der Basisblock ein /16 ist, reicht die Regel, das dritte Oktett als Liniennummer zu verwenden, bis Linie 255 (die 0 wird nicht als Liniennummer verwendet und ist für die gemeinsame Datenerfassung und Wartung vorgesehen), und ab Linie 8 geht es mit 172.20.8.0/21 und 172.20.16.0/20 nahtlos weiter. Kommen Werke hinzu, wird das zweite Oktett zur Werksnummer: 172.21.0.0/16 erhält das nächste Werk, und beide werden zu 172.20.0.0/15 zusammengefasst. Zu klein wird das /24 einer Linie erst, wenn sie mehr als 250 Steuergeräte hat, und in dieser Größenordnung lässt sich die Linie leichter betreiben, wenn sie logisch geteilt wird.

Stolperfallen

• Kommunikation zwischen den Linien „zur Sicherheit“ freigeben. Wird eine Linie mit Schadsoftware infiziert, stehen alle Linien mit derselben Konfiguration gleichzeitig still. Zwischen den Linien wird grundsätzlich gesperrt, und nötige Kommunikation läuft über die Datenerfassung.
• Kein Segment für Wartungsrechner vorsehen und mitgebrachte PCs direkt ins Steuerungssegment stecken. Das ist der häufigste Einstiegsweg für OT-Vorfälle, und es bleibt keine Aufzeichnung. Es wird ein eigenes Segment eingerichtet, und nur von dort aus geht es auf die Steuerungsseite.
• Die Zuordnungstabelle der Adressumsetzung nur in der Gerätekonfiguration führen. Wechselt die Person, die sie eingerichtet hat, die Stelle, kann niemand mehr erklären, welche äußere Adresse zu welcher Anlage gehört. Die Zuordnungstabelle wird als maßgebliche Quelle in den Entwurfsdokumenten geführt.
• Für die Adressen des Werks den Bereich 192.168 verwenden. Er kollidiert leicht mit Routern und mobilen Routern, die Wartungsdienstleister mitbringen, und der Konflikt zeigt sich erst vor Ort. Geschnitten wird aus 172.16/12 oder 10/8.
• Die Zuordnung von Liniennummern zu Adressen bei jeder Erweiterung so festlegen, dass gerade freie Nummern aufgefüllt werden. Wird Linie 7 abgebaut und kommt später eine andere Anlage an ihre Stelle, stimmen Nummer und tatsächliche Linie nicht mehr überein, und niemand verlässt sich mehr darauf. Nummern werden nicht wiederverwendet.

Ausgangslage

Ein Werk mit rund 300 Beschäftigten, dessen Bürogebäude und Fertigungsgebäude auf demselben Gelände liegen und bisher als ein einziges Netz betrieben wurden. Anweisungen aus der Produktionssteuerung an die Anlagen und die Rückmeldung der Ergebnisse werden weiterhin gebraucht, doch dass Büro-PCs die Steuergeräte direkt erreichen können, soll ein Ende haben. In diesem Schritt wird am Design innerhalb der Linien nichts geändert; zuerst werden nur die Grenzen oberhalb und unterhalb der Linien neu gezogen.

Annahmen

Zwischen Büroseite und Werksseite lässt sich mindestens ein Layer-3-Gerät aufstellen. Die Kommunikation, die beide Seiten überquert, lässt sich mindestens je Übergabeserver nach Gegenstelle und Richtung erfassen. Die Adressen der Steuergeräte werden diesmal nicht geändert; das Neudesign innerhalb der Linien erfolgt separat. Zu den Anforderungen gehört, dass die Produktion weiterlaufen kann, solange die Grenzgeräte ausgefallen sind.

Zuteilung

Begründung

Gegen die Trennung hat niemand etwas. Was nicht entschieden wird, ist die Größe der Zone an der Grenze.

Wird für die Grenze ein /24 genommen, geht das immer schief. In dieser Größenordnung müssen tatsächlich nur die Übergabeserver mit beiden Seiten kommunizieren, gut ein Dutzend Geräte. Die übrigen 240 und mehr Adressen werden zu Brachflächen, und Brachflächen werden immer bebaut. Nach einem halben Jahr kommt ein Dateiserver aus der Büro-IT hinzu, im Jahr darauf ein Sprungserver, der in die Authentifizierung des Büros eingebunden ist. Ab da ist die Grenze keine Grenze mehr, doch in der Adresstabelle ändert sich nichts, also bemerkt es niemand.

Deshalb bleibt die Übergabe bei einem /28 und nicht mehr. Mit nur 14 Adressen muss jeder, der ein fünfzehntes Gerät hinzufügen will, vorher jemanden fragen. Ziel ist, dass die Größe als Betriebsregel wirkt. Der Platz für Wachstum liegt daneben, unter anderem Namen, für Phase 2, und die Übergabezone selbst wird nicht erweitert.

Auch die Aufteilung des /20 in drei Bereiche, 0 bis 3 (IT), 4 bis 7 (Grenze) und 8 bis 15 (Steuerung), ist Absicht. Die Filter des Grenzgeräts lassen sich in drei Zeilen schreiben, 10.60.0.0/22, 10.60.4.0/22 und 10.60.8.0/21, und diese drei Zeilen ändern sich nicht, wenn Segmente hinzukommen. Bei einem Design, bei dem für jede Ergänzung die Filter angefasst werden, werden sie eines Tages falsch angefasst, und die Produktion steht.

Die Zone für die gemeinsamen Dienste des Steuerungsnetzes, ein /25, liegt der Verfügbarkeit wegen auf der Steuerungsseite. Die Produktion läuft weiter, während die Grenzgeräte ausgefallen sind. Hängen Zeitsynchronisation und Namensauflösung von der Büroseite ab, wird ein Ausfall der Grenze zu einem Ausfall der Steuerungsseite.

Reserven

An der Grenze ist 10.60.4.64/26 für Phase 2 frei gehalten. Es dient nicht zur Erweiterung der Übergabe, sondern als Platz, um später externe Datenanbindungen und Zwischenserver für die Fernwartung hinzuzufügen. Auf der Steuerungsseite ist 10.60.12.0/22 für Zonen je Linie frei gehalten, und das Design jeder Linie kommt dorthin. Reicht das /24 für das drahtlose Netz nicht mehr, wird 10.60.10.0/23 hinzugenommen. Kommen Werke hinzu, erhält das nächste Werk 10.60.16.0/20, und alle werden zu 10.60.0.0/16 zusammengefasst. Da die Übergänge zwischen den drei Bereichen auf /22-Grenzen liegen, haben die drei Filterzeilen in jedem Werk dieselbe Form.

Stolperfallen

• An der Grenze einen Sprungserver aufstellen und ihn in die Authentifizierung des Büros einbinden. Damit entsteht ein Weg, auf dem Anmeldedaten von der Büroseite hereinfließen, und die Grenze verliert ihren Sinn. Wird ein Sprungserver aufgestellt, bleibt seine Authentifizierung innerhalb der Grenze.
• Die Steuergeräte weiterhin ihre Zeit von einem Server auf der Büroseite beziehen lassen. Sobald das Grenzgerät angehalten wird, beginnt die Zeit auf der Steuerungsseite abzuweichen, und bei der späteren Fehlersuche lassen sich die Protokolle nicht abgleichen. Die Zeitsynchronisation wird auf der Steuerungsseite eingerichtet.
• Die Trennungsanforderung nur als „vom Büro kein Zugang ins Steuerungsnetz“ definieren. Die Kommunikation von der Steuerungsseite zur Büroseite bleibt unkontrolliert, und ein zwischen die Anlagen geschmuggeltes Gerät behält einen Weg nach draußen. Die Regeln werden für beide Richtungen festgelegt.
• Die Übergabeserver zusätzlich Datenerfassung und Dateiablage übernehmen lassen. Die Seite, die nicht angehalten werden darf, verhindert Updates, und nach wenigen Jahren traut sich niemand mehr an diese Server heran. Die Server werden nach Aufgabe getrennt, und ihre Zahl wird innerhalb des /28-Bereichs gehalten.

Ausgangslage

Ein Unternehmen mit 10 Standorten hat von seinem Provider ein IPv6-/48 erhalten. Bei IPv4 wurde die Größe jedes Subnetzes an die Gerätezahl angepasst und genau darauf geachtet, wo Reserven liegen und wie Zersplitterung vermieden wird. Mit derselben Denkweise soll nun die IPv6-Zuweisung beginnen.

Annahmen

Vom Provider wurde ein /48 erhalten. Die Geräte im Unternehmen können die automatische Adresskonfiguration von IPv6 nutzen. Die Zahl der Standorte und die Zahl der Zwecke bleiben voraussichtlich jeweils bei höchstens 15. Die Adressen sind dafür gedacht, dass Menschen sie lesen und ihre Bedeutung erkennen.

Zuteilung

Begründung

Ein /48 enthält 65.536 /64-Subnetze. Vieles, was sich über Jahre mit IPv4 angesammelt hat, kehrt sich hier um.

Bei IPv4 wurde die Subnetzgröße nach der Gerätezahl bestimmt: ein /28 für 10 Geräte, ein /24 für 200. Bei IPv6 geschieht das nicht. Jedes Subnetz ist unabhängig von der Gerätezahl immer ein /64-Subnetz. Der Mechanismus, mit dem Geräte ihre Adresse selbst festlegen, setzt ein /64-Präfix voraus. Wird kleiner als /64 geschnitten, funktioniert er nicht mehr.

Sparen ist ebenfalls unnötig. Kaum eine Organisation verbraucht je 65.536 /64-Subnetze. Die Probleme, die bei IPv4 so viel Mühe gemacht haben, etwa wohin Reserven kommen und wie Zersplitterung zu verhindern ist, verschwinden fast vollständig.

Es bleibt eine einzige Entscheidung: wie die 16 Bit der vierten 16-Bit-Gruppe aufgeteilt werden. Hier erhalten der Standort 4 Bit, der Zweck 4 Bit und eine laufende Nummer 8 Bit. Fallen die Grenzen zwischen den Bedeutungen auf die Grenzen zwischen Hexziffern, lässt sich eine Adresse auf einen Blick lesen. 2001:db8:100:1200::/64 ist zum Beispiel das erste Server-Subnetz von Standort 1.

Die Aufteilung wird an den Hexziffern ausgerichtet. Wird mitten in einer Hexziffer geteilt, muss die Adresse bei jedem Lesen ins Binäre umgerechnet werden, und der Vorteil der Lesbarkeit geht verloren. Können es mehr als 15 Standorte werden, erhält der Standort von Anfang an 8 Bit, Zweck und laufende Nummer je 4 Bit.

Reserven

Die erste Hexziffer der vierten 16-Bit-Gruppe ist der Standort, gezählt ab 1; die 0 bleibt für unternehmensweite Zwecke frei. Die zweite Ziffer ist der Zweck, die letzten beiden sind die laufende Nummer. Subnetze sind immer /64-Subnetze und werden nicht vergrößert, wenn die Gerätezahl steigt. Dass die /64-Subnetze in der Segmenttabelle im Verhältnis zur Gerätezahl groß wirken, liegt daran, dass das Protokoll ein /64-Präfix verlangt, nicht an eingeplanter Reserve. Überschreiten die Standorte 15, bleibt die Aufteilung unverändert, und es wird ein zweites /48-Präfix bezogen.

Stolperfallen

• Die Subnetzgröße nach der Gerätezahl bestimmen und kleiner als /64 schneiden. Der Mechanismus, mit dem Geräte ihre Adresse selbst festlegen, setzt ein /64-Präfix voraus und funktioniert nicht mehr. Subnetze sind immer /64-Subnetze.
• Aus Sorge um Reserven und Zersplitterung eng schneiden wie bei IPv4. Dass 65.536 /64-Subnetze aufgebraucht werden, kommt praktisch nicht vor, und enges Schneiden bringt nichts. Die Lesbarkeit hat Vorrang.
• Die vierte 16-Bit-Gruppe mitten in einer Hexziffer teilen. Bei jedem Lesen muss die Adresse ins Binäre umgerechnet werden, und aus der Adresse lässt sich keine Bedeutung mehr ablesen. Geteilt wird an den Grenzen der Hexziffern.
• Die Standortziffer ab 0 zählen. Für unternehmensweite Zwecke bleibt kein Platz, und sie müssen später hineingezwängt werden. Die 0 bleibt für unternehmensweite Zwecke frei.