Netzwerk-Grundlagen: IP-Adresse, Subnetz, Switch

Früher war eine Steuerung eine Insel: Eingänge rein, Programm durchlaufen, Ausgänge raus. Heute ist die SPS nur ein Teilnehmer unter vielen. Das Bedienpanel (HMI) holt sich Werte aus der Steuerung, der Frequenzumrichter bekommt seine Drehzahl-Vorgabe über das Netz, und der Servicetechniker klemmt sein Notebook an, um online zu beobachten, was passiert. All diese Geräte tauschen Daten über ein gemeinsames Netzwerk aus.

Die physische Grundlage dafür ist fast immer Ethernet – dieselbe Technik wie im Büro, nur robuster ausgeführt. Verbunden wird mit Twisted-Pair-Leitungen und den bekannten RJ45-Steckern, im Industrieumfeld oft geschirmt und mit verriegelbaren Steckverbindern. Ethernet liefert die „Straße“, auf der die Daten fahren. Welche Verkehrsregeln auf dieser Straße gelten, legen darüber liegende Protokolle fest. Konkrete Industrieprotokolle wie PROFINET, EtherCAT oder Modbus TCP bauen alle auf den Grundlagen auf, die hier erklärt werden – sie sind aber jeweils eigene Themen.

Jedes netzwerkfähige Gerät hat zwei verschiedene Adressen, und der Unterschied ist wichtig:

Die MAC-Adresse (Media Access Control) ist fest im Gerät gespeichert, vom Hersteller vergeben und weltweit eindeutig. Sie ändert sich nie. Man kann sie sich wie die Seriennummer einer Netzwerkkarte vorstellen – fest verdrahtet, sechs Bytes lang, meist in der Form 00:1B:1C:2A:5F:08.

Die IP-Adresse dagegen wird konfiguriert. Sie sagt, in welchem Netz das Gerät steht und welche Nummer es dort hat. Dieselbe SPS bekommt im Werk A vielleicht die 192.168.0.10 und nach dem Umbau im Werk B die 10.0.5.10 – die MAC-Adresse bleibt dabei gleich, die IP-Adresse wird passend zum Netz gesetzt.

Diese Trennung ist kein Zufall. Die MAC-Adresse beantwortet die Frage „welches physische Gerät“, die IP-Adresse die Frage „wo im Netz“. Beide arbeiten zusammen, und im weiteren Verlauf wirst du sehen, dass der Switch sich um die MAC-Adressen kümmert, während die Subnetz-Regeln auf den IP-Adressen beruhen.

Eine IPv4-Adresse besteht aus vier Zahlen, getrennt durch Punkte, zum Beispiel 192.168.0.10. Jede dieser vier Zahlen heißt Oktett, weil sie im Hintergrund aus genau acht Bit besteht. Acht Bit ergeben Werte von 0 bis 255 – deshalb darf in keinem Oktett eine Zahl über 255 stehen. Eine Adresse wie 192.300.0.1 ist also schlicht ungültig.

Im Hintergrund ist jedes Oktett eine Binärzahl. Die 192 sieht im Binärsystem so aus:

192 dezimal = 1100 0000 binär

Jede Stelle einer Binärzahl hat einen festen Stellenwert – eine Zweierpotenz. Von rechts nach links: 1, 2, 4, 8, 16, 32, 64, 128. Um eine Binärzahl in eine Dezimalzahl umzurechnen, addiert man die Stellenwerte aller Stellen, an denen eine 1 steht:

Für 1100 0000 sind nur die beiden höchsten Stellen gesetzt: 128 + 64 = 192. Andersherum zerlegt man eine Dezimalzahl, indem man von 128 abwärts prüft, welche Stellenwerte hineinpassen.

Warum überhaupt binär denken? Weil die Subnetzmaske im nächsten Kapitel nur in Binärschreibweise wirklich verständlich wird. Wer das Oktett im Kopf zerlegen kann, versteht sofort, was eine Maske mit einer Adresse macht.

Eine IP-Adresse besteht aus zwei Teilen: einem Netz-Anteil und einem Host-Anteil. Der Netz-Anteil sagt, zu welchem Netz das Gerät gehört, the Host-Anteil ist die individuelle Nummer innerhalb dieses Netzes. Wo genau die Grenze zwischen beiden liegt, bestimmt die Subnetzmaske – dazu kommen wir gleich. Wichtig vorab: Geräte im selben Netz haben denselben Netz-Anteil und unterscheiden sich nur im Host-Anteil.

In der Automatisierung arbeitet man fast ausschließlich mit privaten Adressbereichen. Das sind Bereiche, die für interne Netze reserviert sind und nicht im öffentlichen Internet auftauchen:

Der mit Abstand häufigste in kleinen Anlagen ist 192.168.x.x. Innerhalb eines solchen Netzes muss jede Adresse genau einmal vorkommen. Vergibt man dieselbe IP-Adresse zweimal, gibt es einen Adresskonflikt, und mindestens eines der beiden Geräte ist nicht mehr sauber erreichbar.

Die IP-Adresse allein verrät noch nicht, wo der Netz-Anteil aufhört und der Host-Anteil beginnt. Diese Grenze zieht die Subnetzmaske. Sie ist genauso aufgebaut wie eine IP-Adresse – vier Oktette – und sieht typischerweise so aus: 255.255.255.0.

Der Trick: In Binärschreibweise ist die Maske eine durchgehende Folge von Einsen, gefolgt von Nullen.

255.255.255.0 = 11111111.11111111.11111111.00000000

Überall, wo in der Maske eine 1 steht, gehört die entsprechende Stelle der IP-Adresse zum Netz-Anteil. Überall, wo eine 0 steht, gehört sie zum Host-Anteil. Bei 255.255.255.0 are also die ersten drei Oktette das Netz, das letzte Oktett der Host.

Weil die Maske immer aus zusammenhängenden Einsen besteht, kann man sie kurz schreiben, indem man einfach die Anzahl der Einsen angibt. Das ist die CIDR-Schreibweise (Classless Inter-Domain Routing). 255.255.255.0 hat 24 Einsen und wird deshalb als /24 geschrieben. Eine Adresse mit Maske notiert man dann kompakt als 192.168.0.10/24.

Um aus einer Adresse die zugehörige Netzadresse zu bestimmen, verknüpft man Adresse und Maske bitweise mit UND. Bei der UND-Verknüpfung kommt nur dort eine 1 heraus, wo in beiden Werten eine 1 steht:

IP-Adresse: 192.168.0.10 = 11000000.10101000.00000000.00001010
Maske /24: 11111111.11111111.11111111.00000000
UND-Ergebnis: 192.168.0.0 = 11000000.10101000.00000000.00000000

Das Ergebnis 192.168.0.0 ist die Netzadresse – die Adresse, die das Netz als Ganzes bezeichnet. Sie wird keinem Gerät zugewiesen.

Das Gegenstück ist die Broadcast-Adresse: Im Host-Anteil stehen hier alle Bit auf 1. Bei 192.168.0.0/24 ist das 192.168.0.255. Eine Nachricht an diese Adresse erreicht alle Geräte im Netz gleichzeitig. Auch die Broadcast-Adresse wird keinem einzelnen Gerät gegeben.

Damit liegt fest, wie viele Geräte in ein Netz passen. Der Host-Anteil hat eine bestimmte Anzahl Bit; jede Kombination ist eine mögliche Hostnummer. Zwei davon sind aber reserviert (Netzadresse und Broadcast), also:

Bei /24 sind das 32 − 24 = 8 Host-Bit, also 2^8 − 2 = 254 mögliche Geräte. Das reicht für die meisten Anlagen locker. Die folgende Tabelle zeigt die in der Praxis häufigsten Masken:

In kleinen und mittleren Anlagen ist /24 der Normalfall. Größere Netze mit vielen Teilnehmern nutzen /16.

Jetzt kommt die Regel, an der in der Praxis die meisten Inbetriebnahmen scheitern. Sie ist einfache, aber folgenreich:

Zwei Geräte können nur dann direkt miteinander kommunizieren, wenn sie im selben Subnetz liegen. Im selben Subnetz heißt: Sie haben dieselbe Netzadresse. Und ob das so ist, prüft man, indem man bei beiden Geräten die IP-Adresse mit der Maske UND-verknüpft und schaut, ob dieselbe Netzadresse herauskommt.

Ein Beispiel mit zwei Geräten an /24:

SPS: 192.168.0.10/24 → Netzadresse 192.168.0.0
HMI: 192.168.0.20/24 → Netzadresse 192.168.0.0

Beide landen bei 192.168.0.0. Gleiches Subnetz – die beiden finden sich und tauschen Daten direkt aus. Jetzt das Gegenbeispiel:

SPS: 192.168.0.10/24 → Netzadresse 192.168.0.0
HMI: 192.168.1.20/24 → Netzadresse 192.168.1.0

Das dritte Oktett ist verschieden, also unterschiedliche Netzadressen. Diese beiden Geräte können sich nicht direkt erreichen, obwohl sie am selben Switch hängen und die Verkabelung tadellos ist. Für das Netzwerk liegen sie in zwei verschiedenen Welten.

Genau hier passiert der Klassiker bei der Inbetriebnahme: Die Verkabelung stimmt, die Link-LEDs leuchten, trotzdem kommt keine Verbindung zustande. Sehr oft liegt es daran, dass eine falsche Subnetzmaske eingestellt ist oder ein Gerät versehentlich in einem anderen Adressbereich steht. Wer die UND-Regel im Kopf hat, prüft als Erstes: Liegen beide Geräte wirklich im selben Subnetz?

Was aber, wenn Geräte aus verschiedenen Subnetzen doch miteinander reden sollen? Dann braucht es einen Vermittler – das Default-Gateway. Das Gateway ist die Adresse, an die ein Gerät alle Pakete schickt, deren Ziel außerhalb des eigenen Subnetzes liegt. Es leitet sie ins richtige Netz weiter. In kleinen Anlagen ist das oft ein Router oder eine Steuerung mit zwei Netzwerkkarten. Die eigentliche Wegfindung zwischen Netzen – das Routing – ist ein Thema für sich; hier reicht das Prinzip: Innerhalb des Subnetzes geht es direkt, über die Subnetzgrenze hinweg nur über das Gateway.

Wenn mehrere Geräte vernetzt werden sollen, braucht es ein Bauteil, das sie zusammenführt. Das ist der Switch. Er ist das zentrale Verteilelement im Schaltschrank: Jedes Gerät bekommt eine Leitung zu einem Switch-Port, und der Switch sorgt dafür, dass die Daten zum richtigen Empfänger gelangen. Diese Verkabelung – alle Geräte sternförmig auf ein zentrales Element – nennt man Stern-Topologie.

Das Besondere am Switch: Er arbeitet auf Ebene der MAC-Adressen, nicht der IP-Adressen. Sobald ein Gerät die erste Nachricht sendet, merkt sich der Switch, an welchem Port die MAC-Adresse dieses Geräts hängt. Diese Zuordnung speichert er in einer internen Tabelle, der MAC-Tabelle. Kommt später eine Nachricht für genau diese MAC-Adresse herein, schickt der Switch sie gezielt nur an den richtigen Port – nicht an alle anderen.

Genau das unterscheidet ihn vom älteren Hub. Ein Hub kennt keine Adressen; er schickt jede empfangene Nachricht stumpf an alle Ports gleichzeitig. Das überflutet das Netz, und wenn zwei Geräte zugleich senden, kommt es zu Kollisionen. In der Automatisierung sind Hubs deshalb längst verschwunden. Der Switch dagegen leitet gezielt weiter, vermeidet Kollisionen und hält das Netz schlank – ein klarer Vorteil, wenn deterministisches Verhalten gefragt ist.

Vom Router unterscheidet sich der Switch ebenfalls deutlich. Der Switch verbindet Geräte innerhalb desselben Subnetzes. Der Router dagegen steht an der Grenze zwischen verschiedenen Netzen und übernimmt genau die Vermittlung, die wir im vorigen Kapitel dem Gateway zugeordnet haben. Kurz gesagt: Switch = innerhalb eines Netzes, Router = zwischen Netzen.

In der Praxis trifft man auf zwei Arten. Ein Unmanaged Switch funktioniert ohne Konfiguration: einstecken, läuft. Ein Managed Switch lässt sich konfigurieren und bietet Diagnose, Priorisierung von Datenverkehr und weitere Funktionen, die in größeren Automatisierungsnetzen oft gebraucht werden. Für eine einfache Maschine reicht meist der Unmanaged Switch, für eine größere vernetzte Anlage greift man zum Managed Switch.

Hier siehst du eine typische Stern-Topologie im Schaltschrank: SPS, HMI und Frequenzumrichter hängen alle an einem zentralen Switch.

Ein sauberes Anlagennetz beginnt nicht mit dem Kabel, sondern mit einem IP-Konzept. Bevor das erste Gerät angeklemmt wird, legt man fest, welcher Adressbereich verwendet wird und welche Adresse welches Gerät bekommt. In der Automatisierung vergibt man dafür feste IP-Adressen statt automatischer Vergabe per DHCP. Der Grund ist einfach: Eine SPS muss immer unter derselben Adresse erreichbar sein, sonst findet das HMI sie nach einem Neustart nicht mehr. Eine zufällig wechselnde Adresse wäre in einer Maschine ein Albtraum.

Ein typisches Konzept für ein kleines /24-Netz könnte so aussehen:

Mit etwas Abstand zwischen den Nummern bleibt Platz für spätere Erweiterungen. Wichtig ist nur, dass jede Adresse genau einmal vergeben wird – ein Adresskonflikt durch eine doppelt genutzte IP ist einer der häufigsten und ärgerlichsten Fehler überhaupt.

Wenn das Netz steht und ein Gerät sich nicht meldet, hilft systematisches Vorgehen. Das einfachste Prüfmittel ist der Befehl ping. Man öffnet auf dem Programmiergerät die Eingabeaufforderung und tippt zum Beispiel ping 192.168.0.10. Antwortet das Gerät, steht die Verbindung auf IP-Ebene. Kommt keine Antwort, arbeitet man eine kurze Liste ab:

Stimmt die Subnetzmaske auf beiden Geräten? Liegen beide im selben Adressbereich (gleiche ersten drei Oktette bei /24)? Ist die Verkabelung in Ordnung, leuchten die Link-LEDs am Switch-Port? Gibt es vielleicht einen Adresskonflikt, weil zwei Geräte dieselbe IP tragen?

Ein zweites, oft unterschätztes Werkzeug ist der Befehl arp -a. Er zeigt die ARP-Tabelle des eigenen Geräts – also die Zuordnung von IP-Adressen zu MAC-Adressen, die der Rechner zuletzt gesehen hat. Das ist deshalb wertvoll, weil ein Gerät manchmal auf ping nicht antwortet, obwohl es physisch sauber im Netz hängt – etwa weil eine Firewall die ping-Antworten blockt. In der ARP-Tabelle taucht es dann trotzdem auf, sobald überhaupt Datenverkehr stattgefunden hat. Sieht man die MAC-Adresse des Geräts bei arp -a, weiß man: Die physische Verbindung und die Adressierung stimmen, der Fehler liegt woanders. Fehlt der Eintrag komplett, deutet das eher auf ein Problem mit Verkabelung, Port oder Adressbereich hin.

Geht es um konkrete Industrieprotokolle, kommen weitere Mechanismen dazu. Bei PROFINET etwa werden Geräte zusätzlich über einen Gerätenamen angesprochen, nicht nur über die IP-Adresse. Das ist ein eigenes, größeres Thema und baut direkt auf den hier erklärten Grundlagen auf.