Wildcard-Mask Rechner

Der Wildcard-Masken-Rechner generiert Wildcard-Masken aus CIDR-Notation, Subnetzmasken oder IP-Adressbereichen. Wildcard-Masken sind die bitweise Invertierung von Subnetzmasken und werden in Cisco IOS Access Control Lists (ACLs), OSPF-network-Anweisungen und EIGRP-Konfigurationen verwendet, um IP-Adressbereiche abzugleichen.

Wildcard-Masken verstehen

Wenn Sie mit Cisco-Equipment arbeiten, sind Wildcard-Masken etwas, das Sie staendig verwenden, aber moeglicherweise nie vollstaendig durchdenken. Eine Wildcard-Maske sieht aus wie eine rueckwaerts geschriebene Subnetzmaske -- waehrend eine Subnetzmaske 1-Bits verwendet, um den Netzwerkanteil zu markieren, und 0-Bits fuer den Host-Anteil, macht eine Wildcard-Maske genau das Gegenteil. Ein 0-Bit bedeutet "dieses Bit muss exakt mit der Basisadresse uebereinstimmen", und ein 1-Bit bedeutet "dieses Bit kann beliebig sein". Die Wildcard 0.0.0.255 gepaart mit der Basisadresse 192.168.1.0 stimmt also mit jeder Adresse von 192.168.1.0 bis 192.168.1.255 ueberein -- die ersten drei Oktette muessen uebereinstimmen, und das letzte Oktett kann beliebig sein.

Der Grund, warum Cisco Wildcard-Masken anstelle von Subnetzmasken in ACLs und Routing-Protokoll-Konfigurationen verwendet, ist Flexibilitaet. Subnetzmasken sind immer zusammenhaengend -- eine Folge von Einsen gefolgt von einer Folge von Nullen -- weil sie einen einzelnen zusammenhaengenden Adressblock definieren. Wildcard-Masken koennen technisch nicht-zusammenhaengend sein, was das Abgleichen von Mustern ermoeglicht, die nicht mit traditionellen Subnetzen uebereinstimmen. Beispielsweise stimmt eine Wildcard von 0.0.0.254 nur mit geradzahligen Adressen im letzten Oktett ueberein. Waehrend nicht-zusammenhaengende Wildcards in der Praxis selten verwendet werden, besteht die Faehigkeit in der ACL-Engine.

Fuer die ueberwiegende Mehrheit realer Konfigurationen konvertieren Sie einfach zwischen Subnetzmasken und Wildcard-Masken fuer CIDR-ausgerichtete Bereiche. Die Konvertierung ist unkompliziert: Subtrahieren Sie jedes Oktett der Subnetzmaske von 255. Dieses Tool automatisiert diese Konvertierung und behandelt auch den komplexeren Fall von nicht-CIDR-ausgerichteten IP-Bereichen, bei denen mehrere Wildcard-Eintraege benoetigt werden, um den Bereich praezise abzudecken.

So berechnen Sie eine Wildcard-Maske

1. Geben Sie einen CIDR-Block (z.B. 192.168.1.0/24), eine Subnetzmaske (z.B. 255.255.255.0) oder einen IP-Bereich ein
2. Der Rechner invertiert die Subnetzmasken-Bits -- Einsen werden zu Nullen und Nullen zu Einsen
3. Die resultierende Wildcard-Maske wird zusammen mit dem uebereinstimmenden IP-Bereich angezeigt
4. Fuer nicht-CIDR-ausgerichtete Bereiche berechnet das Tool die minimale Anzahl benoetigter Wildcard-Eintraege

Wildcard-Masken-Beispiele

Wann Sie dieses Tool verwenden sollten

• Schreiben von Cisco Extended ACLs -- Subnetz-Notation in das Wildcard-Masken-Format konvertieren, das access-list-Befehle erfordern
• Konfigurieren von OSPF-Network-Anweisungen -- network 10.0.0.0 0.255.255.255 area 0 mit der korrekten Wildcard verwenden
• Einrichten von EIGRP -- Wildcard-Masken definieren, welche Interfaces am Routing teilnehmen
• Abgleich nicht-zusammenhaengender Bereiche -- wenn ein IP-Bereich nicht auf einen einzelnen CIDR-Block ausgerichtet ist, berechnet das Tool die wenigsten Wildcard-Eintraege, um ihn exakt abzudecken
• Auditierung bestehender ACLs -- ueberpruefen, dass Wildcard-Masken in Konfigurationen mit den beabsichtigten Adressbereichen uebereinstimmen
• Konvertierung von Terraform zu Cisco-Konfigurationen -- CIDR-Notation aus der Cloud in Wildcard-Masken fuer Router uebersetzen

Wie Wildcard-Masken in Cisco IOS funktionieren

Bit-Level-Logik

In einer Wildcard-Maske hat jedes Bit eine spezifische Bedeutung:

• 0 = dieses Bit muss mit dem entsprechenden Bit in der Basisadresse uebereinstimmen
• 1 = dieses Bit kann beliebig sein (egal)

Basisadresse: 192.168.1.0    → 11000000.10101000.00000001.00000000
Wildcard:     0.0.0.255      → 00000000.00000000.00000000.11111111
                                ↑ muss uebereinstimmen ↑    ↑ beliebig ↑

Dies stimmt mit allen Adressen von 192.168.1.0 bis 192.168.1.255 ueberein.

Wildcard vs. Subnetzmaske

Zur Konvertierung: Subtrahieren Sie jedes Oktett der Subnetzmaske von 255.

Subnetzmaske: 255.255.255.240
Wildcard:     255-255=0, 255-255=0, 255-255=0, 255-240=15
Ergebnis:     0.0.0.15

Spezielle Wildcard-Werte

OSPF-Network-Anweisungs-Beispiel

Um alle Interfaces im Bereich 10.10.0.0/16 in OSPF Area 0 zu bewerben:

router ospf 1
 network 10.10.0.0 0.0.255.255 area 0

Die Wildcard 0.0.255.255 bedeutet, dass die ersten zwei Oktette 10.10 sein muessen, waehrend die letzten zwei beliebig sein koennen.

Nicht-CIDR-ausgerichtete Bereiche

Wenn Sie 10.0.0.0 bis 10.0.0.200 abgleichen muessen, faellt dieser Bereich nicht auf eine einzelne CIDR-Grenze. Der Rechner bestimmt die minimale Anzahl von Wildcard-Eintraegen:

10.0.0.0   0.0.0.127    → deckt 10.0.0.0 - 10.0.0.127 ab
10.0.0.128 0.0.0.63     → deckt 10.0.0.128 - 10.0.0.191 ab
10.0.0.192 0.0.0.7      → deckt 10.0.0.192 - 10.0.0.199 ab
10.0.0.200 0.0.0.0      → deckt 10.0.0.200 ab

Wildcard-Masken in der Praxis

Der haeufigste Fehler beim Schreiben von ACLs ist die Verwechslung der Subnetzmaske mit der Wildcard-Maske. Wenn Sie versehentlich 255.255.255.0 statt 0.0.0.255 in einer ACL-Anweisung verwenden, gleicht die ACL einen voellig anderen Satz von Adressen ab -- oder in vielen Faellen lehnt der Router die Konfiguration gaenzlich ab. Auf Cisco-Geraeten akzeptieren einige neuere IOS-Versionen eine Warnung und konvertieren automatisch, aber sich auf dieses Verhalten zu verlassen ist riskant. Ueberpruefen Sie immer, ob der Kontext eine Subnetzmaske oder eine Wildcard-Maske erwartet.

Eine weitere praktische Ueberlegung ist die ACL-Performance. Wenn ein Bereich nicht auf eine CIDR-Grenze faellt und mehrere Wildcard-Eintraege erfordert, fuegt jeder Eintrag Verarbeitungs-Overhead zum Paketabgleich hinzu. Fuer Access-Listen, die auf hochdurchsatz-Interfaces angewendet werden, ist die Minimierung der Eintragsanzahl wichtig. Dieser Rechner erzeugt die minimale Anzahl von Wildcard-Paaren, um jeden beliebigen Bereich abzudecken, was hilft, Ihre ACLs so effizient wie moeglich zu halten. Wenn Performance kritisch ist und die zusaetzlichen Adressen akzeptabel sind, kann es besser sein, einen einzelnen groesseren CIDR-Block zu verwenden, der den Bereich umfasst, anstatt mehrere praezise Eintraege.

Bei der Migration von Konfigurationen zwischen Plattformen beachten Sie, dass nicht alle Hersteller Wildcard-Masken verwenden. Juniper JUNOS, Palo Alto PAN-OS und die meisten Cloud-Plattformen verwenden CIDR-Notation oder Standard-Subnetzmasken in ihren ACL-Aequivalenten. Wenn Sie eine Cisco-ACL in eine Palo-Alto-Sicherheitsrichtlinie uebersetzen, muessen Sie jede Wildcard-Maske zurueck in einen CIDR-Block konvertieren -- was dieses Tool in umgekehrter Richtung tut. Die Konvertierungstabelle fuer gaengige Praefixe (/24 = 0.0.0.255, /16 = 0.0.255.255, /8 = 0.255.255.255) auswendig zu kennen, deckt die meisten Faelle ab, aber der Rechner behandelt die nicht offensichtlichen.

Haeufig gestellte Fragen

Wie konvertiere ich eine Subnetzmaske in eine Wildcard-Maske?

Subtrahieren Sie jedes Oktett der Subnetzmaske von 255. Fuer 255.255.255.192: 255-255=0, 255-255=0, 255-255=0, 255-192=63, ergibt Wildcard 0.0.0.63. Alternativ ist die Wildcard das bitweise NOT der Subnetzmaske.

Warum verwendet Cisco Wildcard-Masken statt Subnetzmasken in ACLs?

Wildcard-Masken erlauben nicht-zusammenhaengende Bitmuster und ermoeglichen das Abgleichen von Adressmustern, die nicht mit traditionellen Subnetzen uebereinstimmen. Beispielsweise stimmt eine Wildcard von 0.0.0.254 nur mit geradzahligen Adressen ueberein. Waehrend nicht-zusammenhaengende Wildcards selten sind, ist die Flexibilitaet in die ACL-Syntax eingebaut. OSPF und EIGRP verwenden Wildcard-Masken zur Konsistenz mit der ACL-Syntax.

Welche Wildcard-Maske stimmt mit einem einzelnen Host ueberein?

Die Wildcard-Maske 0.0.0.0 stimmt mit exakt einer Adresse ueberein, da jedes Bit uebereinstimmen muss. In Cisco IOS koennen Sie die Kurzform host 192.168.1.1 verwenden, anstatt 192.168.1.1 0.0.0.0 zu schreiben.

Welche Wildcard-Maske stimmt mit allen Adressen ueberein?

Die Wildcard-Maske 255.255.255.255 stimmt mit jeder IP-Adresse ueberein, da jedes Bit ein "egal"-Bit ist. In Cisco IOS koennen Sie die Kurzform any verwenden, anstatt 0.0.0.0 255.255.255.255 zu schreiben.

Kann ich Wildcard-Masken auf Nicht-Cisco-Plattformen verwenden?

Die meisten Nicht-Cisco-Plattformen (Juniper, Palo Alto, Fortinet, Cloud-Firewalls) verwenden CIDR-Notation oder Subnetzmasken anstelle von Wildcard-Masken. Wenn Sie Konfigurationen von Cisco auf eine andere Plattform migrieren, muessen Sie Wildcard-Masken zurueck in CIDR-Bloecke konvertieren. Dieses Tool behandelt beide Konvertierungsrichtungen.

Verwandte Tools

• IPv4-Subnetzrechner - Berechnung von Netzwerk, Broadcast und Host-Bereich aus CIDR-Notation
• Netzmaske-CIDR-Konverter - Konvertierung zwischen Subnetzmasken-Notation und CIDR-Praefixlaenge
• Netzwerkadress-Rechner - Ermittlung der Netzwerkadresse fuer beliebige IP und Subnetzmaske
• Broadcast-Adressen-Rechner - Ermittlung der Broadcast-Adresse fuer jedes Subnetz
• Nutzbare-Hosts-Rechner - Berechnung der Anzahl nutzbarer Host-Adressen in einem Subnetz
• IP-in-Subnetz-Pruefer - Pruefen, ob eine IP-Adresse zu einem bestimmten Subnetz gehoert