Infra & Netzwerk

IP-Adressverwaltung (IPAM)

Overview

IPAM (IP Address Management) bezeichnet Werkzeuge und Abläufe, mit denen die IT ihre IPv4- und IPv6-Adressräume plant, Subnetze vergibt, belegte und freie Adressen nachhält und diese Daten mit DHCP und DNS abgleicht. Das Ziel: keine doppelt vergebenen Adressen und keine veraltete Excel-Tabelle mehr.

Verbreitet sind die IPAM-Funktion in Windows Server, Open-Source-Werkzeuge wie NetBox oder phpIPAM, kommerzielle DDI-Lösungen (DNS, DHCP und IPAM aus einer Hand) sowie IPAM-Module in Monitoring-Suites wie SolarWinds IP Address Manager.

Windows Server IPAM beschreibt Microsoft als integrierte Suite zum Planen, Bereitstellen, Verwalten und Überwachen der IP-Adressinfrastruktur, die DHCP- und DNS-Server im Netzwerk automatisch erkennt. Laut Microsoft Learn gilt das Feature für Windows Server 2016, 2019, 2022 und 2025 sowie Azure Local ab 2311.2. In der Liste der entfernten und nicht mehr weiterentwickelten Funktionen von Windows Server 2025 taucht IPAM nicht auf. Die letzte größere Funktionserweiterung dokumentiert Microsoft für Windows Server 2016.

Abgrenzung: DHCP vergibt Adressen, DNS löst Namen auf (jeweils eigene Einträge), IPAM verwaltet und dokumentiert beides übergreifend. IT-Inventarisierung erfasst Geräte und Software, IPAM den Adressraum. VLAN und Netzwerksegmentierung liefern die Struktur, die ein IPAM abbildet.

How it works

Ein IPAM-System führt Adressdaten in einer Hierarchie zusammen:

  1. Adressblöcke (etwa 10.0.0.0/8) werden in Subnetze und Bereiche aufgeteilt und Standorten, VLANs oder Zwecken zugeordnet.
  2. Discovery liest DHCP-Leases und DNS-Einträge ein, viele Lösungen ergänzen Netzwerkscans, und gleicht den Ist-Zustand mit der Planung ab.
  3. Nutzungsdaten zeigen die Auslastung je Subnetz und Bereich, damit volle DHCP-Bereiche früh auffallen.
  4. Änderungen laufen über das IPAM, das sie an DHCP und DNS weitergibt, etwa neue Reservierungen samt passendem DNS-Eintrag.

Windows Server IPAM im Detail: Der IPAM-Server muss Domänenmitglied sein, auf einem Domänencontroller oder in einer Arbeitsgruppe lässt er sich nicht installieren. Er verwaltet Microsoft-Domänencontroller sowie DHCP-, DNS- und NPS-Server, Netzwerkgeräte anderer Hersteller unterstützt er nicht. Die nötigen Zugriffsrechte auf den verwalteten Servern richtet die IT manuell oder per Gruppenrichtlinie ein (Provisioning). Microsoft empfiehlt die GPO-Methode, ein späterer Wechsel erfordert eine Neuinstallation. Seit Windows Server 2016 verwaltet IPAM DNS-Zonen und -Einträge, hält PTR-Einträge aktuell, unterstützt mehrere AD-Gesamtstrukturen mit beidseitiger Vertrauensstellung und findet freie Subnetze per PowerShell (Find-IpamFreeSubnet, Find-IpamFreeRange im Modul IpamServer).

Benefits

  • Doppelt vergebene Adressen werden seltener, weil Planung und Ist-Zustand aus DHCP und DNS automatisch abgeglichen werden
  • Freie Subnetze und Bereiche für neue VLANs oder Standorte sind sofort auffindbar, statt sie in Tabellen zu suchen
  • Auslastungsdaten warnen vor vollen DHCP-Bereichen, bevor Clients keine Adresse mehr bekommen
  • Eine nachvollziehbare Dokumentation des Adressraums mit Rechtekonzept unterstützt Audits und Notfallhandbücher, etwa im Rahmen von NIS2
  • Windows Server IPAM ist als Feature im Betriebssystem enthalten, für reine Microsoft-Umgebungen ist keine zusätzliche Software nötig

Practical example

Ein Automobilzulieferer mit vier Werken und 900 Mitarbeitenden pflegt seine Adressen in einer Excel-Datei, die niemand aktuell hält. IP-Konflikte bei Maschinensteuerungen führen immer wieder zu Stillständen in der Fertigung. Die IT führt NetBox als zentrales IPAM ein, importiert alle Subnetze und VLANs und legt fest, dass feste Adressen nur noch über NetBox vergeben werden. Die Windows-DHCP-Server bleiben für die Clients zuständig, ein Skript gleicht ihre Leases nachts mit NetBox ab, sodass Abweichungen sofort sichtbar werden.

Things to keep in mind

  • Vor der Einführung ein Adresskonzept festlegen (Blöcke pro Standort, Zweck und VLAN), sonst bildet das IPAM nur das bestehende Durcheinander ab
  • Statische Adressen ausschließlich über das IPAM vergeben und diesen Prozess verbindlich machen, sonst veralten die Daten schnell wieder
  • Windows Server IPAM auf einem eigenen Server betreiben, Microsoft rät von der Kombination mit DHCP- oder DNS-Rollen ab
  • IPv6-Bereiche von Anfang an mit einplanen, auch wenn sie intern noch nicht genutzt werden
  • Lese- und Schreibrechte über rollenbasierte Zugriffskontrolle trennen, denn wer das IPAM ändern darf, beeinflusst DHCP und DNS

Conclusion

Ab einigen hundert Adressen oder mehreren Standorten ist ein IPAM deutlich zuverlässiger als jede Tabelle. Windows Server IPAM genügt für reine Microsoft-Umgebungen, für gemischte Netze mit VLAN- und Gerätedokumentation sind Werkzeuge wie NetBox flexibler.

Further reading

Related articles