Der Begriff Netzmaske (oder netmask in Englisch) stammt von ihrer Funktion, Teile einer IP-Adresse zu “maskieren”, um zwischen dem Netzwerk- und dem Hostanteil zu unterscheiden. Das bedeutet, zu unterscheiden, welches Teil lokal erreicht werden kann und welches über ein Gateway.
Netz: Dies bezieht sich auf den Netzwerk-Teil einer IP-Adresse. Der Netzwerkanteil identifiziert das spezifische Netzwerk, zu dem ein Gerät gehört. Dieses kann normalweise direkt per Layer 2 oder lokal erreicht werden.
Maske: Dies bezieht sich auf die Idee des Maskierens oder Verdeckens bestimmter Teile der IP-Adresse. Eine Netzmaske ist eine Bitmaske, die mit einer Reihe von “1“-en und “0“-en anzeigt, welcher Teil der IP-Adresse sich auf das Netzwerk und welcher sich auf den Host selbst bezieht. Die Netzmaske “verdeckt” oder “maskiert” dabei den Hostanteil der IP-Adresse und lässt nur den Netzwerkteil sichtbar.
Zum Beispiel, bei einer IPv4-Adresse wie 192.168.1.10 mit einer Netzmaske von 255.255.255.0 wird die Netzmaske verwendet, um die ersten drei Oktette (192.168.1) als den Netzwerkanteil und das letzte Oktett (10) als den Hostanteil zu identifizieren. Die Maske 255.255.255.0 (oder /24 in CIDR-Notation) übersetzt sich in 24 Bits mit “1”-en, gefolgt von 8 Bits mit “0”-en. Dadurch wird der letzte Teil der Adresse “maskiert”.
Die Netzmaske wird also allgemein Netzmaske genannt, weil sie den Hostteil der IP-Adresse verdeckt, um den Netzwerkanteil hervorzuheben oder allgemein den Host- (lokal) vom Netzwerkanteil (extern) zu trennen.
In der Hardware, also prinzipiell überall wo TCP/IP in Vewendung ist, wird die Netzmaske (Bitmaske) durch eine einfache bitweise AND-Operation zwischen der IP-Adresse und der Netzmaske realisiert, um den Netzwerk-Teil der IP-Adresse zu ermitteln.
In der Netzwerkausrüstung (wie Routern oder L3-Switchen) wird dieser bitweise Vergleich durch logische Schaltungen implementiert, die den AND-Vorgang auf Hardwareebene ausführen, teilwiese in CPUs, durch FPGAs oder ASICs. Das geht sehr schnell, da der AND-Vergleich eine grundlegende logische Operation ist, die direkt in den CPUs und den Netzwerkkarten (meist ASICs) durchgeführt wird. Sobald das Gerät die Netzwerkadresse ermittelt hat, weiß es, ob die Pakete lokal weitergeleitet werden müssen oder an ein anderes Netzwerk.
Auf der Hardware-Ebene erfolgt die Maskierung und der Vergleich durch eine schnelle AND-Operation, die die Host-Teile “maskiert” und den Netzwerk-Teil hervorhebt. Meist reicht für den logischen Vergleich ein einzelner CPU-Schritt aus.