Eine IPv4-Adresse hat zwei Teile: vorn die Netznummer, hinten die Gerätenummer, wie Straße und Hausnummer. Ein Subnetz ist ein solches Teilnetz, zum Beispiel das Netz eines Klassenraums. Wie viele der 32 Bit zur Netznummer gehören, legt die Subnetzmaske fest. Sie ist ebenfalls 32 Bit lang und besteht aus einem Block Einsen, gefolgt von einem Block Nullen. Eine 1 heißt: Dieses Bit gehört zur Netznummer. Eine 0 heißt: Es gehört zur Gerätenummer.

Die Maske 255.255.255.0 hat 24 Einsen, denn 255 ist binär 11111111. Kurz schreibt man /24 hinter die Adresse. Bei 192.168.0.17 mit dieser Maske ist 192.168.0 die Netznummer und 17 die Gerätenummer. Zwei Geräte liegen im selben Subnetz, wenn ihre Netznummern gleich sind.

Hat die Maske n Einsen, bleiben 32 − n Bit für Geräte, also $2^{32-n}$ Adressen. Zwei davon sind nicht für Geräte: Sind alle Geräte-Bits 0, bezeichnet die Adresse das Netz selbst. Sind alle 1, ist es die Broadcast-Adresse, die alle Geräte des Netzes auf einmal erreicht. Es bleiben $2^{32-n} - 2$ Geräteadressen.

Mit der Maske prüft ein Gerät vor dem Senden, ob das Ziel im eigenen Subnetz liegt. Dann schickt es das Paket direkt dorthin. Sonst gibt es das Paket an den Router seines Netzes, das Standardgateway (Gateway heißt Tor).

Das DNS ist keine einzelne Liste, sondern viele Server in einer Hierarchie. Einen Domainnamen liest du von rechts nach links: Bei www.example.org steht org für die oberste Ebene (Top-Level-Domain), example für die Domain darin und www für den Rechner. Dein Gerät fragt zuerst den Resolver, einen DNS-Server deines Anbieters oder deiner Schule. Kennt er die Antwort nicht, fragt er einen Wurzelserver, der auf den Server für org verweist, dann diesen, der auf den Server für example.org verweist, und zuletzt diesen, der die IP-Adresse von www.example.org nennt. Diese Frage-Kette heißt Namensauflösung. Der Resolver behält die Antwort eine Zeit lang im Zwischenspeicher (Cache), damit die nächste Anfrage schneller geht.

Das alte Telefonnetz reservierte für ein Gespräch eine feste Leitung (leitungsorientiert). Das Internet arbeitet paketorientiert: Eine Nachricht wird in Pakete zerlegt, und jedes Paket wird einzeln auf den Weg geschickt. Ein Paket besteht aus dem Kopf und den Nutzdaten. Im Kopf stehen Absender- und Zieladresse und die Nummer des Pakets. Die Nutzdaten sind ein Stück der Nachricht.

So teilen sich viele Nutzer dieselben Leitungen, und fällt eine Leitung aus, nehmen die Pakete einen anderen Weg. Weil Pakete verschiedene Wege nehmen können, kommen sie womöglich in anderer Reihenfolge an. Das Zielgerät ordnet sie anhand der Nummern.

Ein Protokoll legt Format, Reihenfolge und Fehlerbehandlung der Nachrichten fest. Im Netz arbeiten viele Protokolle zusammen, und jedes löst eine Aufgabe. Das Schichtenmodell ordnet sie in Schichten: Jede Schicht nutzt die Dienste der Schicht darunter und kennt deren Innenleben nicht. Beim Senden setzt jede Schicht dem Paket ihren eigenen Kopf auf, wie einen weiteren Briefumschlag, beim Empfangen packt sie ihn aus. Das Internet nutzt das TCP/IP-Modell mit vier Schichten:

TCP nummeriert Pakete, verlangt Bestätigungen und sendet verlorene Pakete neu: zuverlässig, aber mit Aufwand. UDP sendet ohne Bestätigung: schneller, aber Pakete können fehlen. Das ist bei einem Videoanruf verkraftbar. Weil die Schichten getrennt sind, läuft HTTP über WLAN wie über Kabel.

Ein Switch verbindet Geräte innerhalb eines lokalen Netzes. Er merkt sich, welches Gerät (erkennbar an der festen Geräteadresse der Netzkarte) an welchem Anschluss hängt, und leitet Pakete nur dorthin. Ein Router verbindet verschiedene Netze. Er liest die IP-Zieladresse und sucht in seiner Routingtabelle, über welchen Anschluss das Paket zum nächsten Router oder ans Ziel läuft. Kein Router kennt den ganzen Weg, jeder nur den nächsten Schritt. Dieses Weiterleiten heißt Routing. Router tauschen Informationen aus, damit die Tabellen auch nach einem Leitungsausfall stimmen.

Pakete laufen über verschiedene Medien:

Die Datenrate sagt, wie viele Bit pro Sekunde ankommen, zum Beispiel 100 Mbit/s. Die Dauer ist die Datenmenge in Bit geteilt durch die Datenrate. Eine Datei mit 250 MB hat 250 · 8 = 2000 Mbit. Bei 100 Mbit/s dauert das 2000 : 100 = 20 Sekunden, wenn man Paketköpfe und Wartezeiten nicht beachtet.

Eine Firewall (Brandmauer) steht an der Grenze eines Netzes oder läuft auf einem Gerät. Sie prüft jedes Paket nach festen Regeln und lässt es durch oder verwirft es. Die Regeln nennen Absender, Ziel, Protokoll und Port: Die IP-Adresse findet das Gerät, die Portnummer das Programm darauf. Webseiten über HTTPS laufen meist auf Port 443. Eine Regel kann lauten: Von außen darf niemand zum Dateiserver der Schule.

Eine Netzsperre blockiert den Zugriff auf bestimmte Adressen oder Domainnamen mit einer Sperrliste. Eine Schule sperrt damit zum Beispiel Seiten, die für Kinder ungeeignet sind. Sperren lassen sich oft umgehen und können harmlose Seiten mitsperren.